просто у пересылки виндовой есть нюанс настройки по времени доставки

Задержка событий
По мере создания событий на клиенте механизм переадресации событий занимает некоторое время, чтобы переслать их в сборщик.

Эта задержка может быть вызвана конфигурацией подписки, например параметром DeliveryMaxLatency , производительностью сборщика, пересылку или сетью.

Примечание Убедитесь в том, что на клиенте не перезаписываются события, прежде чем они будут переадресованы.Обычно вам придется управлять этой проблемой, только когда клиенты создают большое количество событий (например, занятый сервер или DC пересылает журнал безопасности).

может просто они на коллектор попадают с задрежкой из-за настроек подписки

тогда recv_time будет существенно выше original_time вместе с historical true

*хоспаде, какже эти вопросы на сертифкации по CS достали

у меня нет ни одного события с historical true

или они и не отобразятся в интерфейсе?

отобразятся

что по *_time у запаздывающих событий?

они не запаздывают, они вообще не появляются

хотя в логах типа собираются

перезапускаю задачу, опять пиково собираются, и попадают в систему, но не с того момента на котором остановились, а с того, как я перезапустил, и между нама в разрыве уже ничего не заполняется

O_o

эм, я думал просто запаздывают

Смотрите на incorrect_time, если запаздывание больше суток. Historical просто из профиля копируется.

Какой поток приходит на WEC? Какой версии у вас SIEM?

хмр. в документации говорится что после  incorrect_time автоматом historical лепиться, через профиль можно просто это форсировать

но могу быть не прав. надо поспать.

Это странно. В моей картине мира historical просто отключает механизм коррекции времени, который и может проставить incorrect в true

Время (UTC+0) события в
PT MaxPatrol SIEM. Обычно time =
original_time, для ненормализован-
ных событий time = recv_time.
Также, если в поле original_time ука-
зано время регистрации события бо-
лее суток назад и поле historical =
false, то time = recv_time.
Примечание. Суточный интервал уста-
ревания события может быть изменен
в конфигурационном файле siem.conf
в объекте normalizer в параметре
expected_event_time_deviation