Eventos de Windows

Consultas útiles

Abre PowerShell como administrador y carga primero esta pequeña función, que convierte los datos de cada evento en campos con nombre. Así no dependes de posiciones numéricas que cambian entre versiones de Windows:

# Convierte el bloque EventData de un evento en campos con nombre
function Get-EventData {
    param([Parameter(ValueFromPipeline)]$Evento)
    process {
        $xml   = [xml]$Evento.ToXml()
        $datos = [ordered]@{ Hora = $Evento.TimeCreated; Id = $Evento.Id }
        foreach ($d in $xml.Event.EventData.Data) { $datos[$d.Name] = $d.'#text' }
        [pscustomobject]$datos
    }
}

Inicios de sesión fallidos de las últimas 24 horas:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddDays(-1)} -ErrorAction SilentlyContinue |
  Get-EventData |
  Select-Object Hora, TargetUserName, LogonType, IpAddress, SubStatus |
  Format-Table -AutoSize

¿Desde dónde vienen? Agrupa por origen y por usuario intentado:

$fallos = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -ErrorAction SilentlyContinue | Get-EventData
$fallos | Group-Object IpAddress      | Sort-Object Count -Descending | Select-Object Count, Name
$fallos | Group-Object TargetUserName | Sort-Object Count -Descending | Select-Object Count, Name

Inicios de sesión correctos por escritorio remoto (tipo 10):

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624} -ErrorAction SilentlyContinue |
  Get-EventData |
  Where-Object LogonType -eq '10' |
  Select-Object Hora, TargetUserName, IpAddress |
  Format-Table -AutoSize

El registro de Seguridad da el 4624, pero el escritorio remoto tiene además su propio canal, con el usuario y la IP de origen en cada sesión:

Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-TerminalServices-LocalSessionManager/Operational'; Id=21,25} -ErrorAction SilentlyContinue |
  Get-EventData |
  Select-Object Hora, Id, User, 'Address' |
  Format-Table -AutoSize

Apagados inesperados: cortes de luz, cuelgues o apagados forzados. El 41 y el 6008 se apoyan entre sí.

Get-WinEvent -FilterHashtable @{LogName='System'; Id=41,6008} -ErrorAction SilentlyContinue |
  Select-Object TimeCreated, Id, Message | Format-List

¿Alguien ha borrado registros?

# 1102: se borró el registro de seguridad
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=1102} -ErrorAction SilentlyContinue |
  Select-Object TimeCreated, Id, Message | Format-List

# 104: se borró otro registro (System, Application...)
Get-WinEvent -FilterHashtable @{LogName='System'; Id=104} -ErrorAction SilentlyContinue |
  Select-Object TimeCreated, Id, Message | Format-List

Sacar una copia para analizarla fuera

En una investigación no se trabaja sobre el equipo vivo. Exporta los registros y analiza la copia:

New-Item -ItemType Directory -Path C:\evidencia -Force | Out-Null
wevtutil epl Security    C:\evidencia\Security.evtx
wevtutil epl System      C:\evidencia\System.evtx
wevtutil epl "Microsoft-Windows-PowerShell/Operational" C:\evidencia\PowerShell-Operational.evtx
wevtutil epl "Microsoft-Windows-TerminalServices-LocalSessionManager/Operational" C:\evidencia\RDP-LocalSessionManager.evtx

# Leer una copia exportada
Get-WinEvent -Path C:\evidencia\Security.evtx -FilterXPath "*[System[EventID=4625]]" | Get-EventData

Activar lo que Windows no registra de fábrica

Un Windows recién instalado apunta los inicios de sesión, pero no registra qué programas se ejecutan ni el código de PowerShell completo, y su registro de seguridad es pequeño. Si quieres que el diario sirva cuando haga falta, hay que prepararlo antes:

# Ver la política de auditoría actual
auditpol /get /category:*

# Auditar la creación de procesos (evento 4688).
# Se usa el GUID porque el nombre de la subcategoría cambia con el idioma de Windows.
auditpol /set /subcategory:"{0CCE922B-69AE-11D9-BED3-505054503030}" /success:enable

# Incluir la línea de comandos completa en el 4688
reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\Audit" /v ProcessCreationIncludeCmdLine_Enabled /t REG_DWORD /d 1 /f

# Registrar los bloques de código de PowerShell (evento 4104)
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\PowerShell\ScriptBlockLogging" /v EnableScriptBlockLogging /t REG_DWORD /d 1 /f

# Ver el tamaño del registro de seguridad y subirlo a 1 GB
Get-WinEvent -ListLog Security | Select-Object LogName, MaximumSizeInBytes, RecordCount
wevtutil sl Security /ms:1073741824