Eu segui em frente e configurei com êxito o fowarding e as assinaturas de eventos (winrm / wecutil). Agora é possível ter todos os registros que já foram enviados para o meu coletor? Ou são apenas eventos daqui para frente que serão registrados?
Você pode tentar isso:
WECUtil SS "SubscriptionName" / cm: personalizado / ree: true
Isso deve ser feito antes que a Assinatura seja iniciada. Em outras palavras, depois de criar a assinatura, desative-a, execute o comando acima e renomeie-a. A lista então preencherá
Adicione isto:
<ReadExistingEvents>true</ReadExistingEvents>
Para o seu arquivo de configuração xml de assinatura, dentro da tag <Subscription>