Reenvío de registros de eventos de Windows con PowerShell
Me encanta la auditoría de Active Directory. Me encanta porque con solo un par de clics del mouse puedo crear fácilmente una política que se aplica inmediatamente a 500 servidores y comienza a registrar información útil sobre todo lo que sucede con esos servidores. Lo que odio de la auditoría de AD es que esta información útil se almacena en 500 ubicaciones diferentes; en el registro de eventos de seguridad de cada servidor. No existe una buena manera de recuperar todos estos eventos a la vez a menos que escriba un script de PowerShell o utilice algún otro producto para hacerlo. Necesitamos una manera de reunir todos estos eventos en un solo lugar. Afortunadamente, contamos con la función gratuita que viene con Windows conocida como Reenvío de registros de eventos.
Introducido en Windows Server 2008, el reenvío de registros de eventos presentó una forma nativa y automática de enviar eventos de múltiples computadoras (fuentes de eventos) a una o más máquinas llamadas recopiladores. El concepto es simple. El recopilador recopila o extrae eventos de varias computadoras de origen en un registro de eventos central llamado Eventos reenviados.
Veamos cómo hacer que un recopilador de eventos único recopile registros de una computadora de fuente única. Dejaré que usted implemente esto en toda la empresa.
Habilite WinRm en las computadoras de origen
En primer lugar, deberá asegurarse de que WinRM esté habilitado en las computadoras de origen. Hay muchas maneras de hacer esto, como a través de GPO o simplemente haciendo una configuración rápida de winrm en la fuente. De cualquier manera, deberá asegurarse de que esté habilitado y de que se agreguen las excepciones de firewall adecuadas. Eso es todo para la computadora de origen. ¡No se necesita más configuración!
Permitir que el recopilador de eventos haga su trabajo
A continuación, deberá asegurarse de que la cuenta de la computadora de su recopilador esté en el grupo Lectores de registro de eventos en AD.
Configure el servicio del Recolector de eventos de Windows en Inicio automático
Dado que el servicio Windows Event Collector está deshabilitado de forma predeterminada. Necesitamos asegurarnos de que se esté ejecutando y configurado para iniciarse automáticamente. Para hacer esto, simplemente podemos ejecutar wecutil qc, que hará ambas cosas rápidamente.
Crear la suscripción
A continuación, necesitaremos crear la suscripción en el recopilador. Inicie el visor de registro de eventos, haga clic derecho en el nodo Suscripciones y haga clic en Crear suscripción.
Luego llegará a un lugar donde podrá agregar las computadoras de origen.
Luego seleccionará todas las computadoras de origen de las que desea recopilar eventos.
Ahora, digamos que no desea todos los eventos de las computadoras de origen. Tal vez sólo quieras algunos de ellos. En mi caso, solo quiero incluir mis eventos de auditoría de AD y estos solo se registran en el registro de eventos de seguridad. Para hacer esto, debe hacer clic en Seleccionar eventos y crear su filtro.
Una vez que haya terminado, haga clic en Aceptar un par de veces y verá su suscripción creada en el nodo Suscripciones.
¡Eso es todo! Si todo va según lo planeado, ahora debería comenzar a ver sus eventos en el registro de eventos reenviados.
