Aller au contenuAller à l'arborescence
Arborescence Windows
  1. C:
  2. Windows
  3. System32
  4. winevt
  5. Logs
  6. ForwardedEvents.evtx
JournalRisque : Prudence

ForwardedEvents.evtx C:\Windows\System32\winevt\Logs\ForwardedEvents.evtx

Journal Événements transférés : destination par défaut des événements collectés depuis d'autres ordinateurs par un abonnement Windows Event Collector.

Mis à jour le Par AltF4 Formation

À quoi ça sert

ForwardedEvents.evtx est le journal « Événements transférés » (Forwarded Events). Les événements collectés depuis d’autres ordinateurs par les abonnements du collecteur d’événements Windows (Windows Event Collector, géré avec wecutil) y arrivent par défaut. Sur une machine qui n’est pas collecteur, il reste vide.

Ce qu’il contient

  • Des événements provenant des ordinateurs sources (Sécurité, Système, Application, etc.), avec leur nom d’ordinateur d’origine.
  • Le contenu dépend entièrement des abonnements définis (filtres, sources).
  • Un abonnement peut cibler un autre journal que celui-ci, selon sa configuration.

Risques et bonnes pratiques

  • Le journal peut concentrer des événements de sécurité de tout un parc : limitez l’accès au collecteur et protégez le fichier.
  • Dimensionnez la taille maximale, sinon les événements anciens sont écrasés trop vite.
  • Videz ou exportez le journal avec wevtutil plutôt que de supprimer le fichier. Les abonnements se gèrent avec wecutil, pas dans le fichier.
  • Un abonnement mal filtré génère un gros volume : testez d’abord avec quelques sources.

Commandes utiles

Fenêtre de terminal
# 20 derniers événements transférés
Get-WinEvent -LogName ForwardedEvents -MaxEvents 20 | Select-Object TimeCreated, MachineName, Id, LogName, Message


# Énumérer les abonnements du collecteur
wecutil es


# Voir le détail d'un abonnement
wecutil gs "<nom de l'abonnement>"


# Vérifier le service Collecteur d'événements
Get-Service Wecsvc


# Voir la taille et la rétention du journal
wevtutil gl ForwardedEvents

Format

Fichier binaire XML (.evtx). Chaque événement transféré conserve ses données d’origine et indique l’ordinateur source.

Rotation et archivage

Taille maximale et rétention réglables par wevtutil sl ForwardedEvents ou dans l’Observateur d’événements ; wevtutil gl ForwardedEvents affiche les valeurs. Exportez avec wevtutil epl pour archiver.

Comment le lire

Observateur d’événements > Journaux Windows > Événements transférés. En PowerShell : Get-WinEvent -LogName ForwardedEvents, et filtrez par MachineName pour isoler une source. Pour un fichier copié : Get-WinEvent -Path .\ForwardedEvents.evtx.

Signaler une erreur