windows日志转发有三种主流方式：evtsys直连syslog（轻量、无域适用，需加-l 4采集security日志）、wef对接wec（域环境首选，需配置读取权限、订阅管理器及winrm防火墙）、promtail推loki（支持xpath过滤与断点续传）。
将Windows系统日志自动转发到远程日志收集服务器，是集中审计、安全监控和SIEM平台接入的基础操作。必须确保日志源端（Windows）能持续、稳定、不乱码地把Security、System、Application等关键日志推送到目标syslog服务器或WEC（Windows Event Collector）服务端，否则后续分析将缺失源头数据。
使用EvtSys工具直连syslog服务器
这是最轻量、最快落地的方案，适合无域环境、资源受限服务器或批量脚本部署场景，全程无需.NET运行时或图形界面。
第一步：下载并解压EvtSys 4.5.1（64位），放入C:\ELK\64-Bit-LP目录（路径中不能含中文或空格）。
第二步：以管理员身份运行CMD，执行：
cd C:\ELK\64-Bit-LP → evtsys -i -h192.168.88.128 -p514
其中192.168.88.128需替换为你的syslog接收地址，514是UDP端口；若目标为TCP，请额外加参数-t。
第三步：运行net start evtsys启动服务。此时日志即开始以UTF-8编码发送，【默认不包含Security日志】，如需采集，请追加-l 4参数（4=Security，5=System，6=Application，可组合如-l 456）。
通过Windows事件转发（WEF）对接WEC服务器
该方式原生集成于Windows系统，支持域内精细权限控制、事件ID过滤与加密传输，适用于AD域环境且对合规性要求高的场景。
方法一：配置客户端（日志源）读取权限
管理员CMD执行wevtutil gl security，确认返回值中包含(A;;0x1;;;NS)——这表示Network Service有读取权限。若缺失，必须补全，否则Security日志无法被转发。
直播话术巡检系统(Windows版) — 实时语音转写、关键词检测、场景自动切换、告警推送、大屏可视化。支持 Windows VB-Cable 虚拟声卡音频采集，阿里云 ASR 实时识别。一键启动脚本，自动安装环境。
方法二：启用事件转发订阅
组策略编辑器中依次打开：计算机配置 → 管理模板 → Windows组件 → 事件转发 → 配置目标订阅管理器 → 启用 → 输入Server=http://wec-server.lmrsec.com:5985/wsman/SubscriptionManager/WEC（注意FQDN必须可解析，端口5985不可省略）。
方法三：服务与防火墙放行
在客户端执行winrm quickconfig，允许WinRM监听；同时在Windows防火墙中放行“Windows Remote Management (HTTP-In)”规则，否则订阅永远处于“等待响应”状态。
用Promtail采集并推送至Loki
如果你的日志后端是Grafana Loki而非传统syslog，Promtail是官方推荐方案，支持XPath精准过滤、多日志源并行抓取、自动书签续传。
安装Promtail后，编辑配置文件中的windows_events段：
eventlog_name: "Security"
xpath_query: "Event/System[EventID=4624 or EventID=4625]"
poll_interval: 2s
use_incoming_timestamp: true
保存后执行promtail.exe -config.file=promtail-config.yml。它会自动创建.bookmark文件记录读取位置，重启后从断点继续，【切勿手动删除.bookmark文件】，否则将重复上报历史事件。
