Seguir
La respuesta corta: abre el Visor de Eventos, haz clic derecho en el registro que necesitas (por ejemplo Registros de Windows → Seguridad), elige Guardar Todos los Eventos Como…, y conserva el formato .evtx. Desde un símbolo del sistema elevado, lo mismo es una línea: wevtutil epl Security C:logssecurity.evtx. No copies los archivos de C:WindowsSystem32winevtLogs con el Explorador. El servicio de Registro de Eventos los mantiene abiertos, por lo que generalmente obtienes un error o nada usable.
EVTX vale el minuto extra en comparación con una exportación de texto. Es el formato nativo, por lo que cada campo, los ID de registro y los sellos de tiempo UTC exactos sobreviven. Un SIEM no puede devolverte eso, porque almacena texto procesado. Prime Core tiene 11.632 reglas sigma para registros de eventos de Windows, mapeadas a 643 técnicas de MITRE ATT&CK. Van desde adivinación de contraseñas (T1110) y servicios maliciosos (T1543.003) hasta atacantes que limpian los registros detrás de ellos (T1070.001). A continuación, se muestra cómo exportar los registros correctos, sanitizarlos e investigarlos de forma gratuita en LogTotal.
1 Minuto de Tiempo Promedio para la Investigación, Gratis
En resumen
| Ruta | Úsalo cuando | Lo que necesitas |
|---|---|---|
| Visor de Eventos → Guardar Todos los Eventos Como | Una máquina, uno o dos registros, tienes una sesión de escritorio | Derechos de administrador, o Lectores de Registros de Eventos para la mayoría de los registros |
| wevtutil epl | Deseas una exportación filtrada, un script o un servidor sin GUI | Un símbolo del sistema elevado |
| wevtutil con /r: o un bucle de PowerShell | Varios registros, o una máquina remota | Derechos de administrador en el objetivo, más acceso remoto al registro de eventos a través del firewall |
Antes de comenzar
Tres cosas deciden si la exportación contiene lo que esperas que contenga.
Derechos. Los administradores pueden exportar cualquier registro. Los miembros del grupo local Lectores de Registro de Eventos pueden leer la mayoría de los registros sin ser administradores completos. Para el registro de Seguridad, un símbolo del sistema elevado es la opción confiable. Los detalles están en nuestra [guía de permisos de registros de eventos de Windows].
Política de auditoría. Windows solo registra lo que se le indica. La creación de procesos (evento 4688) no se audita por defecto. Incluso cuando lo está, la línea de comandos se registra solo si se habilita una política separada. Verifica antes de buscar eventos que nunca se escribieron:
auditpol /get /category:*
Tamaño del registro y sobrescritura. Cada registro tiene un tamaño máximo. Por defecto, Windows sobrescribe los eventos más antiguos una vez que el registro está lleno, y en un servidor o controlador de dominio ocupado eso puede significar solo horas de historia. Mira con qué estás trabajando:
wevtutil gl Seguridad
Mira maxSize y retención. Si el ataque ocurrió antes del evento más antiguo en el registro, no está allí. Consulta tu SIEM o eventos remitidos en su lugar.
Y el recordatorio habitual: los registros de eventos están llenos de nombres de usuario, nombres de host e IPs. LogTotal sanea las cargas, pero tu política de manejo de datos aún se aplica.
Qué registros exportar
“Los registros de Windows” son unos pocos cientos de canales en un sistema moderno. Para el trabajo de seguridad, estos son los que usualmente cuentan la historia:
| Registro (nombre del canal) | Qué te ofrece | Notas |
|---|---|---|
| Seguridad | Inicios de sesión (4624, 4625), cambios de cuenta (4720, 4728), registro borrado (1102), creación de procesos (4688) | 4688 solo si la auditoría está activada |
| Sistema | Nuevos servicios (7045), cambios en servicios (7036), registro del sistema borrado (104) | |
| Microsoft-Windows-Sysmon/Operational | Creación de procesos con hashes y líneas de comando, conexiones de red, y más | Solo si Sysmon está instalado |
| Microsoft-Windows-PowerShell/Operational | Registro de bloques de script (4104), el código real que se ejecutó | Solo si el registro de bloques de script está habilitado |
| Microsoft-Windows-Windows Defender/Operational | Detecciones (1116) y acciones tomadas (1117) | |
| Microsoft-Windows-TaskScheduler/Operational | Nuevas tareas programadas (106), un truco favorito para persistencia | |
| Microsoft-Windows-TerminalServices-LocalSessionManager/Operational | Inicio de sesión de sesión RDP, desconexión, reconexión (21, 24, 25) |
¿No estás seguro de qué tiene una máquina? wevtutil el lista cada canal. Pásalo por findstr /i sysmon (o lo que estés buscando) para verificar uno específico.
Opción 1: Visor de Eventos
Mejor para una máquina y un par de registros.
- Presiona Win+R, escribe eventvwr.msc y ejecútalo como administrador.
- Encuentra el registro. Los clásicos están bajo Registros de Windows. Todo lo demás vive bajo Registros de Aplicaciones y Servicios → Microsoft → Windows. Sysmon, por ejemplo, está en …WindowsSysmonOperational.
- Haz clic derecho en el registro y elige Guardar Todos los Eventos Como…
- Mantener Archivos de Eventos (*.evtx) como el tipo y dame al archivo un nombre que diga qué es, como dc-01_seguridad_2026-10-20.evtx.
- Windows luego pregunta sobre la información de visualización. Eso decide si una carpeta LocaleMetaData con texto de mensaje se guarda junto al archivo, lo que ayuda cuando alguien lo abre en Event Viewer en otra máquina. Para una carga de LogTotal, el archivo .evtx es lo que cuenta.
¿Necesitas solo parte del registro? Usa Filtrar Registro Actual… primero (ID de eventos, rango de tiempo), luego Guardar Archivo de Registro Filtrado Como…. La XML pestaña de ese diálogo de filtro muestra la consulta XPath exacta que construyó. Copia eso; lo necesitarás para wevtutil en un minuto.
Opción 2: wevtutil desde la línea de comandos
wevtutil viene con cada versión de Windows con la que es probable que te encuentres. Funciona sin GUI y puede filtrar mientras exporta. Ejecútalo desde un símbolo del sistema elevado.
Todo el registro:
mkdir C:logs
wevtutil epl Security C:logsdc-01_security.evtx
Solo las últimas 24 horas (el número está en milisegundos):
wevtutil epl Security C:logsdc-01_security_24h.evtx /q:»*[System[TimeCreated[timediff(@SystemTime) <= 86400000]]]»
Una ventana exacta, en UTC:
wevtutil epl Security C:logsdc-01_security_1019.evtx /q:»*[System[TimeCreated[@SystemTime>=’2026-10-19T00:00:00.000Z’ and @SystemTime<‘2026-10-20T00:00:00.000Z’]]]»
Solo inicios de sesión, exitosos y fallidos:
wevtutil epl Security C:logsdc-01_logons.evtx /q:»*[System[(EventID=4624 or EventID=4625)]]»
Los nombres de canales con espacios necesitan comillas:
wevtutil epl «Microsoft-Windows-Windows Defender/Operational» C:logsdefender.evtx
Si el archivo de destino ya existe, wevtutil se niega a sobrescribirlo a menos que agregues /ow:true. Escribir XPath a mano se vuelve cansado rápidamente. Construye el filtro en Visor de Eventos y copia la consulta de la pestaña XML, como se describe arriba.
En un controlador de dominio, filtra. Una exportación de Seguridad sin filtrar de un DC ocupado puede llegar a ser de gigabytes, y estarás subiendo la mayor parte por nada.
Opción 3: Varios registros, o una máquina remota
Para el triaje, generalmente quieres el mismo puñado de registros de cada host. Este fragmento de PowerShell los exporta en una carpeta por máquina y omite cualquier canal que no exista (sin Sysmon, por ejemplo) en lugar de fallar:
$out = «C:logs$env:COMPUTERNAME»
New-Item -ItemType Directory -Force -Path $out | Out-Null
$logs = ‘Security’, ‘System’,
‘Microsoft-Windows-Sysmon/Operational’,
‘Microsoft-Windows-PowerShell/Operational’,
‘Microsoft-Windows-Windows Defender/Operational’,
‘Microsoft-Windows-TaskScheduler/Operational’
foreach ($l in $logs) {
$file = Join-Path $out (($l -replace ‘[\/ ]’, ‘_’) + ‘.evtx’)
wevtutil epl $l $file /ow:true 2>$null
if ($LASTEXITCODE -ne 0) { Write-Warning «Skipped: $l» }
}
Máquinas remotas. wevtutil acepta /r:<computer>, pero hay un inconveniente que se descubre por las malas: el archivo de exportación se escribe en el disco de la máquina remota, no en el tuyo. Planea recogerlo después:
wevtutil epl Security C:logssrv-01_security.evtx /r:srv-01
copy \srv-01C$logssrv-01_security.evtx .
Eso necesita derechos de administrador en el objetivo y las reglas de Gestión Remota de Registros de Eventos habilitadas allí. Si esas reglas están apagadas y prefieres no tocarlas, la remoción de PowerShell hace el mismo trabajo: ejecuta el fragmento anterior a través de Invoke-Command, luego devuelve los archivos con Copy-Item -FromSession.
Carga y revisión en LogTotal
LogTotal lee EVTX de forma nativa, por lo que no hay nada que convertir. Es el servicio gratuito de SOC Prime para ejecutar lógica de detección contra un archivo de registro sin configurar nada.
- Sube. Abre logtotal.com y suelta el archivo .evtx. [PRUEBA: pantalla de carga, límite de tamaño, si se pueden cargar varios archivos a la vez]
- Revisión. [PROOF: what the results screen shows and how findings map to rules and ATT&CK techniques]
Cómo se ve esto con datos reales. Usamos [PRUEBA: fuente de muestra, por ejemplo, un Security.evtx de una VM desechable de Windows después de una cadena de ataque simulada: inicios de sesión fallidos, un nuevo administrador local, un nuevo servicio, luego se borra el registro de Aplicaciones]. El archivo fue [PRUEBA: N eventos, X MB]. LogTotal señaló [PRUEBA: hallazgos reales, reglas igualadas, técnicas ATT&CK].
¿Quieres probarlo primero? [PRUEBA: enlace al archivo de muestra] es el mismo archivo que usamos arriba.
Cuando sale mal
| Síntoma | Causa probable | Fix |
|---|---|---|
| Acceso denegado | El símbolo del sistema no está elevado, o la cuenta carece de derechos para ese registro | Ejecutar como administrador |
| No se pudo encontrar el canal especificado | Error tipográfico en el nombre del canal, o el componente no está instalado (Sysmon suele ser el común) | Verifica con wevtutil el | findstr /i <nombre> |
| wevtutil se queja de que el archivo existe | No sobrescribe por defecto | Agrega /ow:true, o elige un nuevo nombre de archivo |
| La consulta especificada no es válida | Comillas o sintaxis de XPath | Construye el filtro en Visor de Eventos y cópialo de la pestaña XML |
| Copiar desde winevtLogs falla con «en uso por otro proceso» | El servicio de Registro de Eventos mantiene los archivos en vivo abiertos | Exporta con Visor de Eventos o wevtutil en su lugar |
| No hay eventos 4625 o 4688 en absoluto | Esa categoría no se audita | Verifica auditpol /get /category:*; esto arregla eventos futuros, no pasados |
| El registro solo abarca unas pocas horas | El registro está lleno y sobrescribiendo | Verifica wevtutil gl Security; busca archivos Archive-Security-*.evtx si el archivado está activado |
| El servidor RPC no está disponible con /r: | Las reglas del firewall de Gestión Remota de Registros de Eventos están desactivadas | Enciéndelas en el objetivo, o usa la remoción de PowerShell |
| La exportación remota «tuvo éxito», pero no hay archivo | /r: escribe el archivo en la máquina remota | Busca en el disco del objetivo, por ejemplo \srv-01C$logs |
FAQ
¿Dónde se almacenan los archivos EVTX en el disco?
En C:WindowsSystem32winevtLogs, un archivo por canal. Los nombres de canales con barras se codifican en el nombre del archivo, por lo que Microsoft-Windows-Sysmon/Operational se convierte en Microsoft-Windows-Sysmon%4Operational.evtx. Puedes leer la carpeta, pero exporta a través de Visor de Eventos o wevtutil en lugar de copiar los archivos en vivo.
¿Puedo obtener los registros de una máquina que no arranca?
Sí, y este es el único caso en el que copiar funciona. Monta el disco en otro sistema, o arranca desde medios externos. Con Windows no ejecutándose, nada mantiene los archivos abiertos, y puedes copiarlos directamente de WindowsSystem32winevtLogs.
¿Debo guardar como EVTX o como XML o texto?
EVTX. El Visor de Eventos ofrece otros formatos, pero eliminan la estructura o aumentan el tamaño del archivo. EVTX conserva cada campo y es lo que LogTotal lee de forma nativa.
¿Hasta dónde llegan mis registros?
Hasta donde permite el tamaño máximo del registro, y ni un día más. wevtutil gl muestra los ajustes de tamaño y retención. En Visor de Eventos, ordena por fecha y mira el evento más antiguo. Si eso es demasiado reciente para ser útil, aumenta el tamaño para la próxima vez, o mejor, reenvía eventos a un SIEM.
¿Es seguro subir registros de eventos a una herramienta en línea?
LogTotal sanea las cargas antes del análisis y no retiene archivos.
