Consulta de registros de eventos de Windows con Get-WinEvent -FilterHashtable y XPath

Objetivo

Obtener, en una sola llamada y sin abrir el Visor de eventos, datos concretos y legibles por máquina de los registros de eventos de un host con Windows Server.

Requisitos previos

Acceso de lectura al registro (Administradores para el registro Security); PowerShell 5.1 o posterior; para una consulta remota, WinRM ya habilitado en el equipo de destino.

Pasos

1. Filtrar por registro, ID de evento y fecha en una sola consulta: Get-WinEvent -FilterHashtable @{LogName='System'; Id=1074,6008; StartTime=(Get-Date).AddDays(-7)} -MaxEvents 100. El propio servicio de registro de eventos evalúa -FilterHashtable, lo que es más rápido que traer todos los registros y filtrarlos en el cliente.
2. Para condiciones que la tabla hash no puede expresar, como una ventana de tiempo móvil combinada con un nivel, usar -FilterXPath: Get-WinEvent -LogName System -FilterXPath "*[System[(EventID=7034) and TimeCreated[timediff(@SystemTime) <= 86400000]]]".
3. Exportar un resultado compacto y estructurado para su procesamiento posterior: Get-WinEvent -FilterHashtable @{LogName='System'; Id=6005,1074} | Select-Object TimeCreated, Id, LevelDisplayName, Message | ConvertTo-Json -Depth 3 | Out-File events.json -Encoding utf8.
4. Consultar un host remoto de forma no interactiva añadiendo -ComputerName SRV1 -Credential $cred al mismo cmdlet, o encapsulándolo en Invoke-Command.
5. En un equipo Server Core o en un script con contexto mínimo, wevtutil qe System /q:"*[System[(EventID=1074)]]" /f:text /c:20 ofrece el mismo filtrado sin cargar el módulo de diagnóstico de PowerShell.

Resultado esperado

Un archivo JSON o una matriz de objetos que contiene solo los registros coincidentes, con campos uniformes, en lugar de tener que desplazarse manualmente por el Visor de eventos.

Límites y base de verificación

Solo se mencionan los ID de evento para los que existe una fuente primaria localizable: la propia guía de Microsoft para solucionar problemas de reinicio agrupa 6005 y 1074 en "Review Event IDs 12, 13, 6005, and 6009 for reboot history" y en un segundo conjunto, "Event IDs 13, 41, 1074, 6008, and 6009 to determine reboot types"; 6008 ("the previous system shutdown was unexpected") tiene su propio artículo de Microsoft Support; 7034 (un servicio "terminated unexpectedly") está documentado para el servicio OpenSSH Server en un artículo de solución de problemas de Microsoft; 7031 ("Service Control Manager: unexpected service termination") aparece en la guía de Microsoft sobre la solución de problemas de cuarentena de nodos de clúster. No se afirma nada sobre el ID de evento 6006, ya que durante esta revisión no se encontró ninguna página primaria de Microsoft que lo defina. -FilterHashtable no puede expresar lógica booleana arbitraria entre proveedores; en ese caso hay que recurrir a -FilterXPath o ejecutar consultas separadas y combinar los resultados en PowerShell. Ambos cmdlets son de solo lectura, por lo que no hay nada que deshacer ni respaldar; no se requiere reiniciar ni volver a iniciar sesión.