Supervisar los inicios de sesión de usuarios locales en sistemas operativos Windows

Los inicios de sesión de usuarios en los sistemas operativos Microsoft Windows se denominan eventos de inicio de sesión. En esta breve publicación de blog, le mostraré un PowerShell One-Liner que recupera todos los inicios de sesión de un usuario en particular.

Código de PowerShell

Los inicios de sesión de usuario exitosos se registran con el ID de evento 4648. El siguiente código recupera todos los eventos de inicio de sesión exitosos del usuario patri. La salida está formateada con el cmdlet Format-Table para una mejor legibilidad.

Get-EventLog -LogName Security -InstanceId 4648 | 
Where-Object Message -match "patri" |
Format-Table TimeGenerated,Message -AutoSize -Wrap

Para ser más preciso y evitar resultados extensos, restrinjo el resultado para mostrar solo el último inicio de sesión exitoso.

Get-EventLog -LogName Security -InstanceId 4648 | 
Where-Object Message -match "patri" | 
Select-Object -First 1 |
Format-Table TimeGenerated,Message -AutoSize -Wrap

¡Diviértete monitoreando tus sistemas con PowerShell!