Búsqueda de sitios web

Configuración del tamaño del registro del visor de eventos en Windows

Los registros del visor de eventos de Windows almacenan información útil que se necesita para analizar el estado de los servicios y aplicaciones en Windows, solucionar errores y auditar eventos de seguridad. De manera predeterminada, los tamaños de los registros del Visor de eventos en Windows están limitados y cuando se exceden los tamaños de los archivos, los nuevos eventos comienzan a sobrescribir los más antiguos. Si se envían demasiados eventos al Visor de eventos, es posible que solo se registren las últimas horas de eventos, lo que puede no ser suficiente para una supervisión y un análisis de registros eficientes.

Para evitar que se sobrescriban los eventos antiguos y garantizar que siempre tenga eventos durante un período de tiempo lo suficientemente largo, puede aumentar el tamaño máximo de los registros del Visor de eventos.

¿Cómo configurar el tamaño del registro de eventos de Windows con PowerShell?

Los archivos de registro de eventos de Windows se almacenan en el

%SystemRoot%\System32\Winevt\Logs\

directorio como archivos .EVTX. Tenga en cuenta que hay un archivo separado para cada registro. Por lo tanto, puede administrar el tamaño máximo de solo el registro de Windows que necesita y dejar la configuración predeterminada para otros.

Puede usar PowerShell para ver los límites actuales de todos los registros del Visor de eventos habilitados en Windows:

Get-Eventlog -List

Puede usar el cmdlet Get-WinEvent para obtener el tamaño de un archivo de registro de eventos específico. Por ejemplo, así es como puede obtener el tamaño actual y máximo del archivo de registro de seguridad:

Get-WinEvent -ListLog Security| Select MaximumSizeInBytes, FileSize, IsLogFull, OldestRecordNumber, IsEnabled, LogMode

Puede usar PowerShell para obtener el tamaño total de la carpeta que contiene los archivos de registro de eventos:

"{0:N2} MB" -f ((gci c:\windows\System32\Winevt\Logs\| measure Length -s).sum / 1Mb)

Para aumentar el tamaño máximo del registro, puede utilizar el

wevtutul

herramienta de línea de comandos (el nuevo tamaño se establece en KB):

wevtutil sl "Application" /ms:200000

O puede usar PowerShell para establecer un nuevo tamaño máximo de archivo de registro de la aplicación:

Limit-Eventlog -Logname Application -MaximumSize 200MB -OverflowAction OverwriteOlder

Ajuste del tamaño del archivo de registro de eventos desde la consola del visor de eventos

La forma más fácil de aumentar el tamaño máximo del registro es directamente desde la consola del Visor de eventos.

  1. Abra el complemento Visor de eventos MMC (

    eventvwr.msc

    );

  2. Seleccione el registro requerido (por ejemplo, Seguridad) y abra sus propiedades;

  3. Establezca un nuevo límite en Tamaño máximo de registro (KB) y guarde los cambios;

  4. También puede seleccionar la acción que se realizará cuando se alcance el tamaño máximo del archivo de registro:

    Sobrescriba los eventos según sea necesario (primero los eventos más antiguos): este modo se usa de manera predeterminada e implica que los eventos nuevos simplemente sobrescriben los eventos más antiguos.
    Archive el registro cuando esté lleno, no sobrescriba los eventos: el registro de eventos actual se archiva en el

    \System32\Winevt\Logs\

    carpeta cuando está llena, y los nuevos eventos se escriben en un nuevo archivo EVTX. Puede acceder a los archivos de eventos archivados a través del menú Abrir registro guardado en el Visor de eventos.
    No sobrescribir eventos (Borrar registro manualmente): habilite esta opción para evitar que se sobrescriban sus eventos antiguos. Tenga en cuenta que el registro debe borrarse manualmente para escribir nuevos eventos.

Aumente el tamaño de los archivos de registro de eventos de Windows mediante GPO

Puede usar Políticas de grupo para administrar de manera centralizada el tamaño de los archivos de registro de eventos en computadoras o servidores en un dominio de Active Directory.

  1. Ejecute el complemento Administración de directivas de grupo (

    gpmc.msc

    ), cree un nuevo GPO y vincúlelo a las Unidades organizativas con las computadoras o servidores para los que desea cambiar la configuración del Visor de eventos (también puede vincular el GPO a la raíz del dominio);

  2. Vaya a la siguiente sección de GPO Configuración del equipo -> Políticas -> Plantillas administrativas -> Componentes de Windows -> Servicio de registro de eventos. Este directorio contiene nodos para administrar los registros básicos de Windows:

    Application
Security
Setup
System

  3. Para aumentar el tamaño máximo del registro, seleccione la opción Especifique el tamaño máximo del archivo de registro (KB), actívela y configure el tamaño requerido.

    ;

  4. Actualice la configuración de la directiva de grupo en los clientes y verifique que el nuevo archivo de registro máximo ahora esté especificado en las propiedades del registro y que no pueda cambiarlo. Si intenta establecer un tamaño diferente, aparecerá un error:

    Event Viewer
The Maximum Log Size specified is not valid. It is too large or too small. The Maximum Log Size will be set to the following: 61440 KB

Aumentar el tamaño máximo del registro de seguridad en los controladores de dominio de Active Directory le permite:

  • Almacene el historial de inicio de sesión del dominio de un usuario y vea los intentos de inicio de sesión exitosos o fallidos en un host de Windows específico;

  • Encuentre la fuente del bloqueo de la cuenta de usuario en AD;

  • Identifique quién creó un usuario en AD, restablezca la contraseña del usuario o cambie la membresía de un grupo de seguridad específico.

Tenga en cuenta que la sección GPO descrita anteriormente no contiene opciones para otros registros de eventos de Registros de aplicaciones y servicios -> Microsoft. Si necesita aumentar el tamaño de otro registro de eventos (que no sea el estándar), puede hacerlo a través del registro. La configuración del registro de eventos de Windows se almacena en la clave de registro HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\EventLog\. El tamaño máximo del archivo de registro está determinado por el parámetro MaxSize (tipo REG_DWORD). Puede configurar el valor de registro del parámetro MaxSize para un registro de eventos personalizado en equipos de dominio mediante las Preferencias de directiva de grupo.

Aprenda a usar GPO para configurar claves y configuraciones de registro.

En este ejemplo, vamos a aumentar el tamaño del registro de Directory Service en los controladores de dominio. La configuración de este registro se almacena en la siguiente clave de registro HKLM\SYSTEM\CurrentControlSet\Services\EventLog\Directory Service.

  1. Abra GPO y vaya a Configuración del equipo -> Preferencias -> Configuración de Windows -> Registro;

  2. Seleccione Nuevo -> Elemento de registro;

  3. Cree un nuevo parámetro de registro con la siguiente configuración:

    Hive: HKEY_LOCAL_MACHINE
Key path: SYSTEM\CurrentControlSet\Services\EventLog\Directory Service
Value name: MaxSize
Value type: REG_DWORD
Value data: 52428800 (the maximum file size is given in bytes. In our example it is 50 MB.)

  • Verifique que el tamaño máximo de registro sea después de actualizar el GPO en los controladores de dominio.

Por ejemplo, si desea almacenar registros con un historial de conexiones de Escritorio remoto a un host RDS durante un período prolongado, debe aumentar el tamaño del registro Terminal-Services-RemoteConnectionManager.

Al aumentar el tamaño de los registros de eventos de Windows, puede obtener más información durante un período de tiempo más prolongado. Por ejemplo, puede usar registros de eventos para obtener el historial de reinicio de Windows, averiguar quién eliminó un archivo de una carpeta de red compartida o quién cambió los permisos de NTFS.

Artículos relacionados