Windowsイベント転送（WEF）大規模環境

現在、すべてのDCでNxlogを使用しており、そのデータを中央のsyslog-ngサーバーに送信しています。各コンピューターでエージェントを処理し、イベントビューアーの読み取りのみをサポートする追加のエージェントが必要なため、WEFを使用してすべてのDCログをいくつかのサーバーに転送し、処理するエージェントの数を減らすことについて議論しています。理論的にはこれで問題はないように見えますが、読み始めたところ、HAやクラスタリングの機能がまったくわかりません。私はおそらくそれをロードバランスでフロントエンドし、バックエンドの5台ほどのサーバーにイベントをラウンドロビンスプレーすることができますが、それが期待どおりに機能するかどうかはわかりません。

かなり大きな環境でWEFを使用した経験がある人はいますか？1日に約2億のWindowsイベントログを受信するため、ログレベルを上げる必要があります。また、ログをできる限りリアルタイムに近づける必要があるため、このスケールでは、DC転送ログまたはそれらを受信するコレクターの遅延のいずれかでパフォーマンスの問題が発生しましたか？

あなたの助けと入力をありがとう。

すべてのエージェントをエラスティックビートに切り替えることを強くお勧めします。私は過去にnxlogを使用しましたが、エラスティックビートのようにすべてがうまくいくわけではありません。

さらに、それらはGOで記述されているため、依存関係は必要ありません。

Syslog-NGも素晴らしいですが、私もここでlogstashに切り替えて、クラスタリング、フェイルオーバー、キュー、およびさまざまなエクスポート（graylogやsplunkなど）をサポートしています。

最後に、ビートをWindowsとLinuxにAnsibleでデプロイします。

企業のログ環境を管理および監視するために、Graylog（https://www.graylog.org/features）のようなツールを検討することをお勧めします。