Hispanopedia WikiEl Visor de eventos es un componente del sistema operativo Windows NT de Microsoft que permite a los administradores y usuarios ver los registros de eventos , generalmente con extensiones de archivo como .txt y .txt, en una máquina local o remota. Las aplicaciones y los componentes del sistema operativo pueden usar este servicio de registro centralizado para informar sobre eventos ocurridos, como un fallo al iniciar un componente o al completar una acción. En Windows Vista , Microsoft renovó el sistema de eventos. [ 1 ].evt.evtx
Debido a que el Visor de eventos informa rutinariamente sobre errores menores de inicio y procesamiento (que, de hecho, no dañan la computadora), los estafadores de soporte técnico suelen usar este software para engañar a la víctima y hacerle creer que su computadora contiene errores críticos que requieren soporte técnico inmediato. [ 2 ] Un ejemplo es el campo "Eventos administrativos" en "Vistas personalizadas", que puede tener más de mil errores o advertencias registrados en un mes.
Descripción general
Windows NT incluye registros de eventos desde su lanzamiento en 1993.
El Visor de eventos utiliza identificadores de evento para definir los eventos únicos que puede encontrar un equipo Windows. Por ejemplo, cuando falla la autenticación de un usuario , el sistema puede generar el identificador de evento 672.
Windows NT 4.0 añadió compatibilidad para definir "orígenes de eventos" (es decir, la aplicación que creó el evento) y realizar copias de seguridad de los registros.
Windows 2000 añadió la capacidad para que las aplicaciones crearan sus propios orígenes de registro, además de los tres archivos de registro definidos por el sistema: "Sistema", "Aplicación" y "Seguridad". Windows 2000 también reemplazó el Visor de eventos de NT4 con un complemento de la Consola de administración de Microsoft (MMC) .
Windows Server 2003 agregó las AuthzInstallSecurityEventSource()llamadas a la API para que las aplicaciones pudieran registrarse en los registros de eventos de seguridad y escribir entradas de auditoría de seguridad. [ 3 ]
Las versiones de Windows basadas en el núcleo Windows NT 6.0 ( Windows Vista y Windows Server 2008 ) ya no tienen un límite de 300 megabytes en su tamaño total. Antes de NT 6.0, el sistema abría los archivos en disco como archivos mapeados en memoria en el espacio de memoria del núcleo, que utilizaba los mismos grupos de memoria que otros componentes del núcleo.
Los archivos de registro del Visor de eventos con extensión de archivoevtx suelen aparecer en un directorio comoC:\Windows\System32\winevt\Logs\
Interfaz de línea de comandos
Windows XP introdujo un conjunto de tres herramientas de interfaz de línea de comandos , útiles para la automatización de tareas:
eventquery.vbs– Script oficial para consultar, filtrar y mostrar resultados basados en los registros de eventos. [ 4 ] Descontinuado después de XP.eventcreate– un comando (que se mantuvo en Vista y 7) para agregar eventos personalizados a los registros. [ 5 ]eventtriggers– un comando para crear tareas controladas por eventos. [ 6 ] Se descontinuó después de XP, reemplazado por la función "Adjuntar tarea a este evento", es decir, desde dentro de la lista de eventos, Right-Clicken un solo evento y seleccionar desde el menú emergente.
Windows Vista
El Visor de eventos consiste en una arquitectura de registro y seguimiento de eventos reescrita en Windows Vista. [ 1 ] Se ha reescrito en torno a un formato de registro XML estructurado y un tipo de registro designado para permitir que las aplicaciones registren eventos con mayor precisión y para ayudar a que los técnicos de soporte y los desarrolladores interpreten los eventos más fácilmente.
La representación XML del evento se puede consultar en la pestaña Detalles de las propiedades del evento. También es posible visualizar todos los eventos potenciales, sus estructuras, los publicadores de eventos registrados y su configuración mediante la utilidad wevtutil , incluso antes de que se activen los eventos.
Existen numerosos tipos de registros de eventos, incluidos los de tipo administrativo, operativo, analítico y de depuración. Al seleccionar el nodo Registros de la aplicación en el panel Ámbito , se muestran numerosos registros de eventos subcategorizados, muchos de los cuales están etiquetados como registros de diagnóstico.
Los eventos analíticos y de depuración, que son de alta frecuencia, se guardan directamente en un archivo de seguimiento, mientras que los eventos administrativos y operativos son lo suficientemente infrecuentes como para permitir un procesamiento adicional sin afectar el rendimiento del sistema, por lo que se envían al servicio de registro de eventos.
Los eventos se publican de forma asíncrona para reducir el impacto en el rendimiento de la aplicación de publicación de eventos . Los atributos de los eventos también son mucho más detallados y muestran las propiedades EventID, Level, Task, Opcode y Keywords.
Filtrado mediante XPath 1.0
Los usuarios pueden filtrar los registros de eventos según uno o más criterios o mediante una expresión XPath 1.0 limitada , y se pueden crear vistas personalizadas para uno o más eventos. El uso de XPath como lenguaje de consulta permite visualizar registros relacionados únicamente con un subsistema específico o un problema con un componente determinado, archivar eventos seleccionados y enviar seguimientos en tiempo real a los técnicos de soporte.
Aquí tienes ejemplos de filtros personalizados sencillos para el nuevo registro de eventos de Windows:
Advertencias:
- Existen limitaciones en la implementación de XPath por parte de Microsoft [ 7 ].
- Las consultas que utilizan funciones de cadena XPath darán como resultado un error [ 8 ].
Suscriptores del evento
Entre los principales suscriptores de eventos se incluyen el servicio Event Collector y el Programador de tareas 2.0. El servicio Event Collector puede reenviar automáticamente los registros de eventos a otros sistemas remotos con Windows Vista , Windows Server 2008 o Windows Server 2003 R2 , según una programación configurable. Los registros de eventos también se pueden visualizar de forma remota desde otros equipos, o bien se pueden registrar y supervisar varios registros de eventos de forma centralizada sin necesidad de un agente, y gestionarlos desde un único equipo. Los eventos también se pueden asociar directamente con tareas, que se ejecutan en el Programador de tareas rediseñado y activan acciones automatizadas cuando se producen determinados eventos.
Véase también
Referencias
- 1 2 "Nuevas herramientas para la administración de eventos en Windows Vista" . TechNet . Microsoft . Noviembre de 2006.
- ↑ Anderson, Nate (4 de octubre de 2012) ."Te llamo desde Windows": Un estafador de soporte técnico llama a Ars Technica . Ars Technica .
- ↑ "Función AuthzInstallSecurityEventSource" . MSDN . Microsoft . Consultado el 5 de octubre de 2007 .
- ↑ LLC), Tara Meyer (Aquent. "Eventquery.vbs" . docs.microsoft.com .
- ↑ LLC), Tara Meyer (Aquent. "Eventcreate" . docs.microsoft.com .
- ↑ LLC), Tara Meyer (Aquent. "Eventtriggers" . docs.microsoft.com .
- ↑ "Implementación y limitaciones de XPath 1.0 de Microsoft en el registro de eventos de Windows" . MSDN . Microsoft . Consultado el 7 de agosto de 2009 .
- ↑ "Script de PowerShell para filtrar eventos mediante una consulta XPath" . Consultado el 20 de septiembre de 2011 .
Enlaces externos
- Fuentes oficiales:
- Visor de eventos - Inside Show en Microsoft Learn
- Eventos y errores (Windows Server 2008) en Microsoft Learn
- Comandos de Windows
- Componentes de Windows
- Registro informático
- Administración de Windows
