Servicio de Informática Atención al Usuario Windows XP El visor de sucesos Sección de Atención al Usuario Ultima modificación: 01 de Julio de 2.003
El visor de sucesos de Windows XP Pág. 2 de 8 TABLA DE CONTENIDOS 1. Introducción al visor de sucesos de Windows XP 2. Funcionamiento del visor de sucesos 2.1. Filtrar sucesos 2.2. Liberar el registro de sucesos cuando está lleno 2.3. Buscar tipos específicos de sucesos 2.4. Ver detalles acerca de un suceso
El visor de sucesos de Windows XP Pág. 3 de 8 1. Introducción al visor de sucesos de Windows XP Mediante los registros de sucesos del Visor de sucesos, podemos reunir información acerca de los problemas del hardware, el software y nuestro sistema. También podemos supervisar los sucesos de seguridad de Windows XP. Un equipo que ejecute cualquier versión de Windows XP guarda los sucesos en tres tipos de registros: Registro de la aplicación. El registro de la aplicación contiene los sucesos registrados por aplicaciones o programas. Por ejemplo, un programa de base de datos podría registrar un error de archivo en el registro de la aplicación. Los programadores deciden qué sucesos se deben supervisar. Registro de seguridad. El registro de seguridad guarda sucesos como intentos de inicio de sesión válidos y no válidos, además de sucesos relacionados con el uso de recursos, como la creación, apertura o eliminación de archivos u otros objetos. Un administrador puede especificar los sucesos que se registrarán en el registro de seguridad. Por ejemplo, si tenemos habilitada la auditoría de inicio de sesión, se registrarán en el registro de seguridad los intentos de inicio de sesión en el sistema. Registro del sistema. El registro del sistema contiene sucesos registrados por componentes del sistema Windows XP. Por ejemplo, el error de la carga de un controlador u otro componente del sistema durante el inicio queda registrado en el registro del sistema. Los tipos de sucesos registrados por los componentes del sistema están predeterminados por Windows XP. El Visor de sucesos mostrará los siguientes tipos de sucesos: Error. Problema importante, como pérdida de datos o de funcionalidad. Por ejemplo, si no se puede cargar un servicio durante el inicio, se registrará un suceso de error. Advertencia. Suceso que no es importante necesariamente, pero que indica la posibilidad de problemas en el futuro. Por ejemplo, cuando queda poco espacio de disco, se registrará un suceso de advertencia. Información. Un suceso que describe el funcionamiento correcto de una aplicación, controlador o sistema. Por ejemplo, cuando un controlador de red carga correctamente, se registrará un suceso de Información. Auditoría de aciertos. Un intento de acceso de seguridad auditado correcto. Por ejemplo, el intento correcto de un usuario para iniciar una sesión en el sistema se registrará como un suceso de Auditoría de aciertos. Auditoría de errores. Un intento de acceso de seguridad auditado erróneo. Por ejemplo, si un usuario intenta tener acceso a una unidad de red y se produce un error, el intento se registrará como suceso de Auditoría de errores. El servicio Registro de sucesos se ejecuta automáticamente al iniciar Windows. Todos los usuarios pueden ver los registros de aplicación y sistema, pero sólo los administradores pueden tener acceso a los registros de seguridad. De forma predeterminada, el registro de seguridad está desactivado. Podemos utilizar la Directiva de grupo para habilitar el registro de seguridad. El administrador también puede establecer en el Registro directivas de auditoría que detengan el sistema cuando el registro de seguridad esté lleno. 2. Funcionamiento del visor de sucesos Podemos acceder al visor de sucesos de varias formas: Siguiendo la siguiente secuencia de pasos: Botón Inicio, Panel de Control, Rendimiento y mantenimiento, Herramientas administrativas y posteriormente haciendo doble clickk en Visor de Sucesos. O bien, pulsando con el botón derecho del ratón en el icono Mi PC, en el escritorio y seleccionando la opción Administrar. En ambos, casos, la pantalla del visor de sucesos que nos aparecerá será similar a la siguiente:
El visor de sucesos de Windows XP Pág. 4 de 8 En esta ventana podemos observar las tres categorías de sucesos mencionadas al principio de este documento: Aplicación seguridad y sistema. 1.1. Filtrar sucesos El visor de sucesos puede llegar a contener una lista interminable de sucesos, especialmente si no la hemos limpiado en mucho tiempo. Por lo tanto, nos puede interesar filtrar específicamente determinada información que nos interese. Para filtrar una serie de sucesos determinados, sigue los siguientes pasos: 1. Abre el Visor de sucesos. Para abrir el Visor de sucesos, haz click en Botón Inicio, Panel de control, Rendimiento y mantenimiento, Herramientas administrativas y, a continuación, haz doble click en Visor de sucesos. 2. En el árbol de la consola, selecciona el registro que quieras filtrar (Aplicación, Seguridad o Sistema). 3. En el menú Ver, selecciona Filtro. 4. En la ficha Filtro, especifica las características que desees. La ventana de Filtro es similar a la siguiente:
El visor de sucesos de Windows XP Pág. 5 de 8 Para volver al criterio predeterminado, pulsa en el botón Restaurar predeterminados. Para desactivar el filtrado de sucesos, haz click en el menú Ver y selecciona Todos los registros. 1.2. Liberar el registro de sucesos cuando está lleno 1. Abre el Visor de sucesos. Para abrir el Visor de sucesos, haz click en Botón Inicio, Panel de control, Rendimiento y mantenimiento, Herramientas administrativas y, a continuación, haga doble click en Visor de sucesos. Debes haber iniciado la sesión como administrador o miembro del grupo Administradores para liberar un registro de sucesos. 2. En el árbol de la consola, haz click en el registro que deseas liberar (Aplicación, Seguridad o Sistema). 3. En el menú Acción, haz click en Borrar todos los sucesos. Cuando un registro está lleno, se detiene la grabación de nuevos sucesos. Borrar el registro constituye una forma de liberar el registro e iniciar la grabación de sucesos nuevos. También podemos liberar un registro e iniciar la grabación de sucesos nuevos si sobrescribimos los sucesos anteriores. Para sobrescribir sucesos, en el menú Acción, tenemos que hacer click en Propiedades y, a continuación, hacer click en Sobrescribir sucesos cuando sea necesario. Así nos aseguraremos de que todos los sucesos nuevos se escriben en el registro, incluso cuando el registro está lleno. También podemos comenzar a registrar sucesos nuevos si aumenta el tamaño máximo del registro. Para aumentar el tamaño del registro, en el menú Acción, tenemos que hacer click en Propiedades y, a continuación, aumentar el Máximo tamaño de registro. Todo esto se puede ver en la siguiente ventana de ejemplo:
El visor de sucesos de Windows XP Pág. 6 de 8 1.3. Buscar tipos específicos de sucesos Entre la enorme cantidad de sucesos que puede tener el registro del visor de sucesos, nos puede interesar buscar sucesos concretos y determinados. Para ello, tenemos que seguir los siguientes pasos: 1. Abre el Visor de sucesos. Para abrir el Visor de sucesos, haz click en Botón Inicio, Panel de control, Rendimiento y mantenimiento, Herramientas administrativas y, a continuación, haz doble click en Visor de sucesos. 1. En el árbol de la consola, haz click en el registro donde quieras buscar (Aplicación, Seguridad o Sistema). 2. En el menú Ver, haz click en Buscar. 3. Bajo Tipos, haz click en los tipos de sucesos que quieras buscar. 4. En Origen de sucesos, Categoría, Id. del suceso, Usuario, Equipo o Descripción, especifica información adicional acerca de los sucesos que quieres buscar. 5. Haz click en Buscar siguiente. Cada vez que el Visor de sucesos encuentre una coincidencia con los criterios de búsqueda, nos aparecerá resaltada la entrada correspondiente en el Visor de sucesos. La ventana de búsqueda será similar a la siguiente:
El visor de sucesos de Windows XP Pág. 7 de 8 En Descripción puedes escribir cualquier fragmento de texto incluido en la descripción de un registro de suceso. Para obtener información adicional acerca de los otros campos, haz click con el botón derecho del ratón en el campo y, después, haz click en Qué es esto? Para restaurar los criterios de búsqueda predeterminados, haz click en Restaurar predeterminados antes de hacerlo en Buscar siguiente. Los parámetros de búsqueda permanecerán en Buscar durante la sesión actual. La siguiente vez que inicies el Visor de sucesos se restaurarán las opciones predeterminadas. Si buscas grupos de sucesos en lugar de un pequeño número de sucesos individuales, también puedes filtrar el registro. 1.4. Ver detalles acerca de un suceso Para ver todos los detalles y la información detallada relacionada con un suceso, debemos seguir los siguientes pasos: 1. Abre el Visor de sucesos. Para abrir el Visor de sucesos, haz click en Botón Inicio, Panel de control, Rendimiento y mantenimiento, Herramientas administrativas y, a continuación, haz doble click en Visor de sucesos. 2. En el árbol de la consola, haga click en el registro con el que desees trabajar (Aplicación, Seguridad o Sistema). 3. En el panel de detalles, haz click en el suceso del que desees ver la información detallada. 4. En el menú Acción, haz click en Propiedades. La ventana de detalles de un suceso será parecida a la siguiente:
El visor de sucesos de Windows XP Pág. 8 de 8 Para ver los datos binarios como caracteres, en el cuadro Datos, haz click en Bytes. Para ver los datos binarios como DWORDS, haz click en Palabras (Word). Para ver detalles acerca del suceso anterior o del siguiente, haz click en la flecha arriba o en la flecha abajo. Para copiar los detalles de un suceso, haz click en el botón Copiar (debajo de las flechas). No todos los sucesos generan datos binarios. La interpretación de esta información puede hacerla un programador experimentado o un técnico de soporte familiarizado con la aplicación de origen. Para conservar la descripción de los sucesos con el formato de datos binarios, guarda los registros con el formato de archivo de registro (*.evt). Si guardas los archivos con formato de texto (.txt) o de texto delimitado con comas (.csv), perderás los datos binarios.