Windows Event Forwarding: assinatura iniciada pela origem, wecutil e o grupo EventLog Readers

Objetivo

Reunir em um único coletor as entradas do log de eventos do Windows de vários computadores de origem, usando uma assinatura iniciada pela origem (source-initiated). Assim, novos computadores podem ser adicionados por política, sem precisar editar a assinatura no coletor para cada um deles.

Pré-requisitos

Acesso administrativo ao coletor e a cada origem; para a configuração baseada em Kerberos descrita abaixo, todos os computadores devem estar no mesmo domínio do Active Directory (origens fora do domínio exigem uma configuração separada, baseada em certificados); WinRM configurado no coletor e em cada origem (winrm qc -q, conforme as instruções da Microsoft).

Passos

1. No coletor, habilite o serviço Windows Event Collector: wecutil qc /q:true (o parâmetro /q:true dispensa a confirmação interativa, o que é necessário para execuções sem supervisão).
2. Crie um arquivo XML de assinatura que descreva uma assinatura iniciada pela origem: SubscriptionType definido como SourceInitiated, um ConfigurationMode (Normal, Custom, MinLatency ou MinBandwidth), uma Query que selecione o canal e os critérios, e AllowedSourceDomainComputers, um descritor de segurança SDDL que indica quem pode encaminhar eventos. Segundo a documentação da Microsoft, se ficar vazio, vale o padrão O:NSG:NSD:(A;;GA;;;DC)(A;;GA;;;NS), que concede acesso a todos os Domain Computers.
3. Crie a assinatura no coletor: wecutil cs subscription.xml. Em seguida, wecutil gs <SubscriptionID> exibe a configuração armazenada dessa assinatura, e wecutil gr <SubscriptionID> (get-subscriptionruntimestatus) exibe o status de execução em tempo real de cada computador de origem nela.
4. Aponte os computadores de origem para o coletor por meio de Group Policy: Computer Configuration > Administrative Templates > Windows Components > Event Forwarding > "Configure target Subscription Manager", com um valor como Server=http://<collector FQDN>:5985/wsman/SubscriptionManager/WEC,Refresh=60. Aplique a política e execute gpupdate /force em uma origem para confirmar.
5. Para encaminhar especificamente o log Security, a documentação afirma que a conta NETWORK SERVICE deve ser adicionada ao grupo EventLog Readers; faça isso em todos os computadores de origem, já que o encaminhador é executado com essa conta e, sem isso, não consegue ler esse canal. A nova associação ao grupo geralmente só passa a valer depois que a origem (ou ao menos o serviço WinRM dela) é reiniciada.
6. No coletor, os eventos encaminhados vão por padrão para o log "ForwardedEvents" (a menos que a assinatura especifique outro log de destino). Verifique-os com Get-WinEvent -LogName ForwardedEvents -MaxEvents 20.

Resultado esperado

wecutil gr <SubscriptionID> no coletor mostra cada origem com status de execução ativo; Get-WinEvent -LogName ForwardedEvents retorna eventos recentes marcados com o nome do computador de origem.

Limites e base de verificação

Baseado na documentação do Microsoft Learn sobre assinaturas iniciadas pela origem, wecutil e Windows Event Collector. Para desfazer, exclua a assinatura (wecutil ds <SubscriptionID>) e reverta o objeto de Group Policy; as origens param de encaminhar eventos quando a política deixa de indicar o coletor. Uma origem que não esteja no grupo EventLog Readers encaminha normalmente os outros canais, mas omite os eventos de Security sem avisar — quando faltarem eventos de Security no coletor, verifique primeiro a associação a esse grupo.