直接用windows自带事件查看器配合wef即可集中收集security日志，无需第三方软件；需启用高级审核策略、配置winrm与wecsvc服务、创建订阅、授权network service读取权限并加入event log readers组，2–5分钟内可在“转发事件”中看到4624/4625等日志。
直接用 windows 自带的事件查看器配合事件转发（wef）就能集中收集关键安全日志，不需要额外装软件。核心是让源服务器把 security 日志发到指定收集器，同时确保权限、通信和审核策略都到位。
确认并启用安全日志审核
Security 日志本身不会自动记录所有操作，必须先开启对应审核策略：
- 打开“组策略管理”（gpmc.msc），编辑域或本地策略：计算机配置 → 策略 → Windows 设置 → 安全设置 → 高级审核策略配置
- 至少启用：登录/注销 → 登录成功/失败、账户管理 → 用户账户管理、特权使用 → 特权获取
- 若部署了 Microsoft Defender for Identity 传感器 v3.x，可直接在 Defender 门户中启用“自动 Windows 审核配置”，它会自动补全 SACL、注册表和策略项
配置事件收集器（接收端）
选一台 Windows Server（建议 Server 2012 R2 及以上）作为中心收集服务器：
- 以管理员身份运行 PowerShell，执行：winrm quickconfig，启用 WinRM（默认开 5985 端口）
- 确保服务已启动：Windows Event Collector (Wecsvc)
- 打开事件查看器 → 左侧“订阅” → 右键“创建订阅” → 填写源计算机名/IP，勾选“Security”日志 → 协议选“Windows Remote Management” → 日志存入默认的“转发事件”
配置源服务器（发送端）
每台要上报 Security 日志的服务器都要做以下设置：
- 用 gpedit.msc 进入：计算机配置 → 管理模板 → Windows 组件 → 事件转发 → 启用“配置目标订阅管理器”
- 在“SubscriptionManagers”中填入收集器地址，格式为：Server=http://collector.example.com:5985/wsman/SubscriptionManager/WEC
- 运行命令检查 Security 日志通道权限：wevtutil gl security，确认输出含 (A;;0x1;;;NS)（Network Service 可读）。若缺失，需用 wevtutil sl security /ca:"..." 补全
- 将收集器的计算机账户（如 DOMAIN\collector$）加入本机“Event Log Readers”组
验证与日常维护
配置后通常 2–5 分钟内开始推送：
- 在收集器上打开“事件查看器 → 转发事件”，看到 ID 4624（登录成功）、4625（登录失败）等即表示通了
- 源端测试 WinRM 连通性：Test-WSMan -ComputerName collector.example.com
- 防火墙务必放行 TCP 5985（或 5986），云服务器还要检查安全组规则
- 定期检查 Security 日志最大大小（右键“安全”→属性），建议设为 2GB 并启用“按需覆盖旧事件”
