Actualmente utilizamos Nxlog en todos nuestros DC y enviamos esos datos a un servidor central de syslog-ng. Debido a tratar con el agente en cada computadora y la necesidad de agentes adicionales que solo admitan la lectura del visor de eventos, estamos debatiendo sobre el uso de WEF para reenviar todos los registros de DC a unos pocos servidores, por lo que tenemos menos agentes para tratar. En teoría, esto suena bien, pero a medida que comencé a leerlo, no veo ninguna capacidad de HA o agrupación. Probablemente podría utilizarlo con un balance de carga y un round robin rociando los eventos a los 5 servidores más o menos en la parte trasera, pero no estoy seguro de si eso funcionaría de la manera que quiero.
¿Alguien tiene experiencia con el uso de WEF en un entorno bastante grande? Recibimos alrededor de 200 millones de registros de eventos de Windows al día y necesitamos aumentar el nivel de registro. Además, tenemos la necesidad de que los registros estén lo más cerca posible del tiempo real, por lo que con esta escala, ¿alguien ha tenido problemas de rendimiento en los registros de reenvío de CC o en la latencia de los recolectores que los reciben?
Gracias por su ayuda y aporte.