Usando o syslog para monitorar serviços interrompidos no Win2k

Estou usando um servidor syslog central para capturar logs de eventos de máquinas Windows. Estou especificamente interessado em monitorar os serviços do Windows. Isso funciona bem em máquinas XP - sempre que um serviço é iniciado ou interrompido, vejo-o conectado no syslog. A sequência capturada é semelhante a "o serviço xxx enviou com êxito um controle de início" ou "o controle de parada". No entanto, no Windows 2000, sempre que eu inicio / paro um serviço manualmente, nada é registrado no Visualizador de Eventos. Isso é normal?