Tema: event-log
-
Windows Event Forwarding: suscripción iniciada por el origen, wecutil y el grupo EventLog Readers
En una suscripción WEF iniciada por el origen, cada equipo de origen obtiene su configuración de un recopilador mediante directiva de grupo y le envía los eventos coincidentes; wecutil administra la suscripción en el recopilador, y para reenviar el registro Security hay que agregar la cuenta NETWORK SERVICE al grupo EventLog Readers en cada origen.
-
Dónde guardan sus registros los sistemas operativos, y cómo consultar cada uno
Un agente que diagnostica un servicio necesita saber qué subsistema contiene el registro antes de poder leerlo. Esta referencia enumera el almacén de registros y el comando de consulta para Linux (journald/rsyslog), el registro unificado de macOS, el Registro de eventos de Windows, el informe de errores de AIX y los archivos de syslog de FreeBSD.
-
Consulta de registros de eventos de Windows con Get-WinEvent -FilterHashtable y XPath
Get-WinEvent -FilterHashtable y -FilterXPath permiten a un agente obtener de un host remoto solo los registros que coinciden, sin recorrer el Visor de eventos, y exportar el resultado como JSON. Solo se citan unos pocos ID de eventos de fallo de servicio y reinicio, porque para ellos se encontró una fuente primaria.
-
Política de auditoría de Windows con auditpol: lectura de subcategorías, aplicación forzosa y dimensionamiento del registro de seguridad
auditpol /get /category:* muestra la política de auditoría avanzada que realmente está en vigor en Windows Server. La configuración por subcategoría prevalece sobre la política básica por categoría solo mientras la opción «forzar la configuración de subcategorías» (SCENoApplyLegacyAuditPolicy) esté habilitada, que es el valor predeterminado efectivo; un registro de seguridad demasiado pequeño sobrescribe o descarta eventos auditados.
Legible por máquina: JSON