LecturaEl Visor de eventos y los registros Security y System
Bienvenida
Bienvenido a Los eventos de Windows que todo analista revisa. Esta píldora es para quien empieza en un SOC o en una mesa de ayuda, o para quien administra equipos Windows y un día oye "¿quién entró anoche al servidor?". Conviene haber usado Windows y PowerShell a nivel básico.
Al terminar podrá abrir los registros Security y System, reconocer ocho IDs que se repiten en casi todos los incidentes, consultarlos con Get-WinEvent y decidir cuáles se escalan. Son cuatro lecciones cortas, un laboratorio con ocho eventos ficticios y un quiz final de 4 preguntas. Necesita un equipo o una VM con Windows 10, 11 o Server y una cuenta de administrador: unos 50 minutos. Prefiera Windows 11: Windows 10 dejó de recibir parches el 14 de octubre de 2025, salvo en equipos inscritos en el programa pagado de actualizaciones extendidas (ESU).
Qué son los eventos de Windows y por qué importan
Cada vez que alguien inicia sesión, crea una cuenta o instala un servicio, Windows lo anota. Cada anotación es un evento: fecha, equipo, origen, un número identificador y detalles. Windows los guarda desde las primeras versiones NT, y desde Vista en el formato .evtx, repartidos en registros como Security o System.
Para quien defiende, son la primera fuente de evidencia: quién entró, desde dónde y qué hizo después. Con ellos se reconstruye un incidente minuto a minuto.
Ficha del Visor de eventos
eventvwr abrevia event viewer. Se abre como eventvwr o eventvwr.msc; la extensión .msc indica un complemento de la consola de administración de Windows. Muestra, filtra y exporta los registros del equipo local o de otro equipo de la red.
Sintaxis
eventvwr [EQUIPO] [/c:REGISTRO] [/l:ARCHIVO.evtx]Opciones principales
| Opción | Qué hace | Ejemplo |
|---|---|---|
EQUIPO | Abre los registros de otro equipo (requiere permisos en él) | eventvwr SRV-ARCHIVOS |
/c:REGISTRO | Abre directamente un registro concreto | eventvwr /c:Security |
/l:ARCHIVO | Abre un .evtx guardado, por ejemplo uno exportado como evidencia | eventvwr /l:C:\Evidencia\sec.evtx |
Para empezar: Win + R, eventvwr.msc, Enter. En el panel izquierdo despliegue Registros de Windows.
Los registros que importan
Security guarda inicios de sesión, cambios en cuentas, uso de privilegios y creación de procesos, pero solo lo que la directiva de auditoría tenga activado; si algo no se audita, no aparece, por mucho que haya pasado. System recoge mensajes del sistema operativo, como la instalación de servicios o el arranque y apagado. Application trae mensajes de los programas y sirve de apoyo.
Anatomía de un evento
Al hacer clic en un evento, la parte inferior muestra el detalle: el Id. del evento, que dice qué pasó; el Origen, el componente que lo escribió (por ejemplo Microsoft-Windows-Security-Auditing); la fecha y hora y el equipo, que arman la línea de tiempo; y la descripción, con la cuenta, el tipo de inicio de sesión o la IP de origen.
La pestaña Detalles, en vista XML, muestra el nombre exacto de cada campo, como TargetUserName o IpAddress. Es el mismo nombre que usará en PowerShell y en un SIEM.
Filtrar para no ahogarse
Un servidor ocupado escribe miles de eventos por hora. Use Filtrar registro actual en el panel derecho: IDs separados por comas, como 4625,4740, o un rango, como 4720-4740, y un período. Guarde los filtros diarios como Vista personalizada.
Errores frecuentes
Si abre Security sin privilegios, el visor muestra acceso denegado: abra eventvwr.msc desde una consola ejecutada como administrador. Si al conectarse a otro equipo aparece "El servidor RPC no está disponible", el equipo está apagado o el firewall bloquea la administración remota de registros.