Glosario
Reenvío de eventos de Windows (WEF)
Característica integrada de Windows que envía entradas seleccionadas del registro de eventos de muchos equipos a un recopilador central mediante WinRM, sin agente.
El reenvío de eventos de Windows (Windows Event Forwarding, WEF) usa el protocolo WS-Management (WinRM) para enviar eventos desde los equipos de origen a uno o varios servidores Windows Event Collector. Los administradores crean en el recopilador suscripciones que definen, mediante consultas XPath, qué eventos se recopilan. En el modo habitual iniciado por el origen, una opción de directiva de grupo indica a los clientes cuál es el recopilador; estos obtienen la suscripción y envían los eventos coincidentes al registro Eventos reenviados, con autenticación Kerberos en un dominio. No se necesita software adicional en los puntos de conexión, y las suscripciones pueden filtrarse con precisión para mantener un volumen manejable.
Los registros que se quedan en el equipo se pierden cuando un atacante los borra o el disco se cifra, y no pueden correlacionarse entre equipos. WEF ofrece una forma gratuita y escalable de centralizar los eventos de seguridad y los registros de PowerShell y Sysmon, a menudo alimentando un SIEM desde el recopilador. Dimensione los recopiladores según el volumen de eventos, mantenga las suscripciones centradas en los identificadores de evento de alto valor y supervise los orígenes que dejan de enviar datos, porque el silencio puede indicar un problema o una manipulación.
Consulte Reenvío de eventos de Windows a escala y Línea base de directiva de auditoría y Sysmon.