Windows Event Forwarding : abonnement initié par la source, wecutil et groupe EventLog Readers

Objectif

Centraliser sur un seul collecteur les entrées des journaux d'événements Windows provenant de nombreux ordinateurs sources, au moyen d'un abonnement initié par la source : de nouveaux ordinateurs peuvent ainsi être ajoutés par stratégie, sans modifier l'abonnement sur le collecteur pour chacun d'eux.

Prérequis

Droits d'administration sur le collecteur et sur chaque source ; pour la configuration Kerberos décrite ci-dessous, tous les ordinateurs doivent appartenir au même domaine Active Directory (les sources hors domaine nécessitent une configuration distincte, basée sur des certificats) ; WinRM configuré sur le collecteur et sur chaque source (winrm qc -q, comme dans les instructions de Microsoft).

Étapes

1. Sur le collecteur, activez le service Windows Event Collector : wecutil qc /q:true (l'option /q:true ignore la confirmation interactive, ce qui est nécessaire pour les exécutions sans surveillance).
2. Rédigez un fichier XML d'abonnement décrivant un abonnement initié par la source : SubscriptionType défini sur SourceInitiated, un ConfigurationMode (Normal, Custom, MinLatency ou MinBandwidth), une Query qui sélectionne le canal et les critères, et AllowedSourceDomainComputers, un descripteur de sécurité SDDL qui désigne les entités autorisées à transférer des événements. Selon la documentation de Microsoft, s'il est laissé vide, la valeur par défaut O:NSG:NSD:(A;;GA;;;DC)(A;;GA;;;NS) accorde ce droit à tous les ordinateurs du domaine (Domain Computers).
3. Créez l'abonnement sur le collecteur : wecutil cs subscription.xml. La commande wecutil gs <SubscriptionID> affiche ensuite la configuration enregistrée de cet abonnement, et wecutil gr <SubscriptionID> (get-subscriptionruntimestatus) affiche l'état d'exécution en temps réel de chaque ordinateur source qui en fait partie.
4. Faites pointer les ordinateurs sources vers le collecteur par stratégie de groupe : Computer Configuration > Administrative Templates > Windows Components > Event Forwarding > "Configure target Subscription Manager", avec une valeur du type Server=http://<collector FQDN>:5985/wsman/SubscriptionManager/WEC,Refresh=60. Appliquez la stratégie et exécutez gpupdate /force sur une source pour vérifier.
5. Pour transférer spécifiquement le journal Security, la documentation indique que le compte NETWORK SERVICE doit être ajouté au groupe EventLog Readers. Faites-le sur chaque ordinateur source : le service de transfert s'exécute sous ce compte et ne peut sinon pas lire ce canal. La nouvelle appartenance ne prend généralement effet qu'après le redémarrage de la source (ou au moins de son service WinRM).
6. Sur le collecteur, les événements transférés arrivent par défaut dans le journal "ForwardedEvents" (sauf si l'abonnement indique un autre journal de destination). Vérifiez-les avec Get-WinEvent -LogName ForwardedEvents -MaxEvents 20.

Résultat attendu

Sur le collecteur, wecutil gr <SubscriptionID> affiche chaque source avec un état d'exécution actif ; Get-WinEvent -LogName ForwardedEvents renvoie des événements récents portant le nom de l'ordinateur d'origine.

Limites et base de vérification

Ce qui précède s'appuie sur la documentation de Microsoft Learn relative aux abonnements initiés par la source, à wecutil et à Windows Event Collector. Pour annuler la configuration, supprimez l'abonnement (wecutil ds <SubscriptionID>) et rétablissez l'objet de stratégie de groupe ; les sources cessent de transférer des événements dès que la stratégie ne désigne plus le collecteur. Une source absente du groupe EventLog Readers transfère normalement les autres canaux, mais omet silencieusement les événements Security : si ces derniers manquent sur le collecteur, vérifiez d'abord l'appartenance à ce groupe.