Visor de sucesos y registro de Windows: guía práctica de monitorización y configuración

TMA 5 - Visor de sucesos

El visor de sucesos es una herramienta que recopila información sobre el hardware, software, problemas del sistema y sucesos relacionados con la seguridad. Un suceso es cualquier evento notable que ocurre en la aplicación o en el propio sistema operativo. Cada vez que tiene lugar un suceso, se anota en un registro.

Tipos de sucesos y registros

• Error: problema importante, como la pérdida de datos.
• Advertencia: suceso que no es importante necesariamente, pero indica la posibilidad de problemas en el futuro.
• Información: suceso que describe el funcionamiento correcto de una aplicación, controlador o sistema.
• Auditoría de aciertos: un intento de acceso de seguridad auditado correcto.
• Auditoría de errores: un intento de acceso de seguridad auditado erróneo.

El visor de sucesos registra cada uno de estos tipos de eventos en registros de sucesos. Existen distintos tipos de registros de sucesos dependiendo de los componentes adicionales instalados en el sistema.

• Registro de aplicación: contiene sucesos registrados por aplicaciones.
• Registro de sistema: contiene sucesos registrados por componentes del sistema Windows XP.
• Registro de seguridad: guarda sucesos de auditoría, como intentos de inicio de sesión válidos y no válidos, además de sucesos relacionados con el uso de recursos.

También hay que mencionar que un equipo que ejecuta Windows configurado como controlador de dominio guarda los sucesos en dos registros adicionales:

• Registro del servicio de directorio: contiene sucesos registrados por componentes del servicio de directorio de Windows.
• Registro del servicio de replicación de archivos: contiene sucesos registrados por el servicio de replicación de archivos de Windows.

Por último, un equipo que ejecuta Windows configurado como servidor DNS guarda los sucesos en un registro adicional:

• Registro del servidor DNS: contiene sucesos registrados por el servicio del servidor DNS de Windows.

Rendimiento

La herramienta Rendimiento es una sencilla herramienta que utilizamos para monitorizar el rendimiento de nuestro equipo y obtener una visualización general de la información del sistema. Proporciona datos que utilizamos para monitorizar el rendimiento de nuestro equipo o el rendimiento de otros equipos en la red. Con registros y alertas de rendimiento podemos reunir datos de rendimiento de manera automática de equipos locales o remotos. Nos ofrece las siguientes posibilidades:

• Recopila los datos separados por tabuladores para que los programas de hoja de cálculo puedan importarlos fácilmente.
• También puede recopilar datos en el formato de base de datos SQL.
• Los datos de contadores y alertas pueden verse tanto durante la recopilación como cuando esta ha detenido.
• La recopilación de información se produce cuando un usuario inicia sesión en el equipo que está siendo supervisado.
• Puede definir parámetros para la generación automática de registros.
• Puede administrar varias sesiones de registro desde una sola ventana de la consola.
• Puede establecer una alerta en un contador, de modo que se especifique que haga algo en concreto cuando el valor del contador seleccionado sea superior o inferior a la configuración especificada.

El monitor del sistema

El monitor del sistema es la herramienta gráfica que mide el comportamiento de procesadores, memoria, procesos... Cada uno de ellos lleva asociado un conjunto de contadores que ofrece información sobre su rendimiento.

TMA 6 - El registro de Windows

El registro de Windows (Registry) es el lugar donde se guardan todos los datos de configuración de Windows.

Claves predefinidas

• HKEY_CURRENT_USER: contiene la raíz de la información de configuración del usuario que ha iniciado sesión.
• HKEY_USERS: contiene todos los perfiles de usuario cargados activamente en el equipo.
• HKEY_LOCAL_MACHINE: contiene información de configuración específica del equipo.
• HKEY_CLASSES_ROOT: la información que se almacena aquí garantiza que, cuando se abra un archivo con el Explorador de Windows, se abrirá el programa correcto.
• HKEY_CURRENT_CONFIG: contiene información acerca del perfil de hardware que utiliza el equipo.

La consola de administración de Windows

• Modo de autor: en este modo, el usuario tiene acceso a todas las funciones de la consola.
• Modo de usuario con acceso completo: en este modo, el usuario tiene acceso a todas las funciones de administración de ventanas de la consola y acceso completo al árbol de contexto, pero no puede agregar ni quitar complementos.
• Modo de usuario con acceso limitado y varias ventanas: en este modo, el usuario no tiene acceso a áreas del árbol de la consola que no eran visibles antes de guardar el archivo de consola.
• Modo de usuario con acceso limitado y ventana única: en este modo, se aplican todas las restricciones existentes para el modo de usuario con acceso limitado, y los controles para trabajar con varias ventanas no están presentes.