service.info[{#SERVICE.NAME},state]
и на него повешен вот такой тригер {Template OS Windows:service.info[{#SERVICE.NAME},state].min(#3)}<>0
В консоль летят алерты вида Service "FortiExplorerDaemon" (Fortinet FortiExplorer) is not running (startup type automatic)
wmic service get name
его не показывает.