Exportación de registros de eventos de Windows mediante PowerShell: guía paso a paso

Para aquellos con derechos de administrador, Windows ofrece dos comandos potentes para exportar registros de eventos de Windows a través de PowerShell. Esta tarea se puede realizar sin esfuerzo de varias maneras utilizando los cmdlets Get-WinEvento Get-EventLog, según la versión de Windows que esté utilizando.

Exportación de registros de eventos de Windows mediante PowerShell

A continuación se muestran los tres comandos para recuperar registros de eventos mediante PowerShell:

• UtilizandoGet-WinEvent
• UtilizandoGet-EventLog
• Uso wevtutilde registros EVTX sin procesar

Estos comandos se pueden ejecutar en PowerShell o en el Terminal de Windows.

1] Uso de Get-WinEvent

Para exportar el registro del sistema directamente a un archivo .csv, puede utilizar el siguiente comando:

Get-WinEvent -LogName System | Export-Csv -Path "C:\Log\SystemLog.csv"-NoTypeInformation

En este caso LogName Systemse refiere a los logs generados para el sistema, exportándolos en formato CSV.

Si desea capturar registros de las últimas 24 horas en formato .csv, puede ejecutar:

Get-WinEvent -LogName Application -StartTime (Get-Date).AddDays(-1) | Export-Csv -Path "C:\Logs\ApplicationLastDay.csv"-NoTypeInformation

2] Uso de Get-EventLog

Para exportar el registro de la aplicación directamente a un archivo de texto, utilice el siguiente comando:

Get-EventLog -LogName Application | Out-File -FilePath "C:\Log\ApplicationLog.txt"

Aquí, LogName Applicationsignifica los registros creados para las aplicaciones, con la salida almacenada como un archivo de texto sin formato.

3] Uso de wevtutil para registros EVTX sin procesar

Los archivos EVTX representan archivos de registro de eventos de Windows con formato de estilo propietario .evtx utilizado por el servicio de registro de eventos de Windows. Estos archivos funcionan como un repositorio para registrar diversos eventos, como errores del sistema, problemas de aplicaciones y auditorías de seguridad generadas tanto por el sistema operativo como por las aplicaciones instaladas.

wevtutil epl Security "C:\Logs\SecurityLog.evtx"

El eplcomando aquí indica Exportar registro y genera registros en su formato EVTX original. Una de las ventajas de crear un archivo EVTX es su accesibilidad inmediata en el visor de eventos.

Esperamos que esta información le resulte útil.

¿Cómo acceder a los archivos EVTX?

Existen diversas herramientas que permiten abrir y analizar archivos EVTX; sin embargo, el método más común es a través del Visor de eventos, una aplicación integrada en Windows que facilita la visualización e interpretación de registros de eventos. Para iniciarlo, presione Win + R, escriba eventvwry seleccione la función “Abrir registro guardado” para cargar archivos EVTX externos.

¿Es posible convertir archivos EVTX a CSV?

Sí, los archivos EVTX se pueden transformar en formatos más manejables, como CSV o texto sin formato, para simplificar el análisis. Puede utilizar el Get-WinEventcmdlet de PowerShell para extraer datos de eventos específicos y exportarlos a un archivo CSV, o puede utilizar herramientas como Evtx2Json o Log Parser.

Get-WinEvent -LogName Application | Export-Csv -Path "C:\Logs\ApplicationLog.csv"-NoTypeInformation