Configurar el tamaño de registro del Visor de eventos en Windows

Los registros del Visor de eventos de Windows almacenan información útil que se necesita para analizar el estado de los servicios y aplicaciones en Windows, solucionar errores y auditar eventos de seguridad. De forma predeterminada, los tamaños de los registros del Visor de eventos en Windows son limitados y cuando se exceden los tamaños de los archivos, los nuevos eventos comienzan a sobrescribir los más antiguos. Si se envían demasiados eventos al Visor de eventos, es posible que solo se registren las últimas horas de eventos, lo que puede no ser suficiente para un monitoreo y análisis de registros eficientes.

Para evitar que se sobrescriban eventos antiguos y garantizar que siempre tenga eventos durante un período suficientemente largo, puede aumentar el tamaño máximo de los registros del Visor de eventos.

Más información:Cómo borrar todos los registros de eventos en el Visor de eventos

Contenido:

• ¿Cómo configurar el tamaño del registro de eventos de Windows con PowerShell?
• Ajustar el tamaño del archivo de registro de eventos desde la consola del Visor de eventos
• Aumente el tamaño de los archivos de registro de eventos de Windows mediante GPO

¿Cómo configurar el tamaño del registro de eventos de Windows con PowerShell?

Los archivos de registro de eventos de Windows se almacenan en el%SystemRoot%System32WinevtLogsdirectorio como.EVTXarchivos. Tenga en cuenta que hay un archivo independiente para cada registro. De este modo, puede administrar el tamaño máximo sólo del registro de Windows que necesita y dejar la configuración predeterminada para los demás.

Puede usar PowerShell para ver los límites actuales de todos los registros del Visor de eventos habilitados en Windows:

Get-Eventlog -List

Puede utilizar el cmdlet Get-WinEvent para obtener el tamaño de un archivo de registro de eventos específico. Por ejemplo, así es como puede obtener el tamaño actual y máximo del archivo de registro de seguridad:

Get-WinEvent -ListLog Security| Select MaximumSizeInBytes, FileSize, IsLogFull, OldestRecordNumber, IsEnabled, LogMode

Puede usar PowerShell para obtener el tamaño total de la carpeta que contiene los archivos de registro de eventos:
"{0:N2} MB" -f ((gci c:windowsSystem32WinevtLogs| measure Length -s).sum / 1Mb)

Para aumentar el tamaño máximo del registro, puede utilizar elwevtutulherramienta de línea de comando (el nuevo tamaño se establece en bytes):

wevtutil sl "Application" /ms:200000000

O puede usar PowerShell para establecer un nuevo tamaño máximo de archivo de registro de la aplicación:

Limit-Eventlog -Logname Application -MaximumSize 200MB -OverflowAction OverwriteOlder

Ajustar el tamaño del archivo de registro de eventos desde la consola del Visor de eventos

La forma más sencilla de aumentar el tamaño máximo de registro es directamente desde la consola del Visor de eventos.

1. Abra el complemento MMC Visor de eventos (eventvwr.msc);
2. Seleccione el registro requerido (por ejemplo, Seguridad) y abra sus propiedades;
3. Establecer un nuevo límite enTamaño máximo de registro (KB)y guardar los cambios;
4. También puede seleccionar la acción que se realizará cuando se alcance el tamaño máximo del archivo de registro:Sobrescriba los eventos según sea necesario (primero los eventos más antiguos). Este modo se utiliza de forma predeterminada e implica que los eventos nuevos simplemente sobrescriben los eventos más antiguos.
   Archive el registro cuando esté lleno, no sobrescriba los eventos– el registro de eventos actual se archiva en elSystem32WinevtLogscarpeta cuando está llena y los nuevos eventos se escriben en un nuevo archivo EVTX. Puede acceder a los archivos de eventos archivados a través del menú Abrir registro guardado en el Visor de eventos.
   No sobrescribir eventos (borrar registro manualmente)– habilite esta opción para proteger sus eventos antiguos para que no se sobrescriban. Tenga en cuenta que el registro debe borrarse manualmente para escribir nuevos eventos.

Aumente el tamaño de los archivos de registro de eventos de Windows mediante GPO

Puede utilizar Políticas de grupo para administrar de forma centralizada el tamaño de los archivos de registro de eventos en computadoras o servidores en un dominio de Active Directory.

1. Ejecute el complemento Administración de políticas de grupo (gpmc.msc), cree un nuevo GPO y vincúlelo a las unidades organizativas con las computadoras o servidores para los que desea cambiar la configuración del Visor de eventos (también puede vincular el GPO a la raíz del dominio);
2. Navegue a la siguiente sección de GPOConfiguración de la computadora->Políticas->Plantillas administrativas->Componente de Windowsnuevos ->Servicio de registro de eventos. Este directorio contiene nodos para administrar los registros básicos de Windows:

   Application
   Security
   Setup
   System

3. Para aumentar el tamaño máximo del registro, seleccione elEspecifique el tamaño máximo del archivo de registro (KB)opción, habilítela y establezca el tamaño requerido;
4. Actualice la configuración de la Política de grupo en los clientes y verifique que el nuevo archivo de registro máximo ahora esté especificado en las propiedades del registro y que no pueda cambiarlo. Si intenta establecer un tamaño diferente, aparecerá un error:
   

   Event Viewer
   The Maximum Log Size specified is not valid. It is too large or too small. The Maximum Log Size will be set to the following: 61440 KB

Aumentar el tamaño máximo del registro de seguridad en los controladores de dominio de Active Directory le permite:

• Almacene el historial de inicio de sesión del dominio de un usuario y vea los intentos de inicio de sesión exitosos/fallidos en un host de Windows específico;
• Encuentre la fuente del bloqueo de la cuenta de usuario en AD;
• Identifique quién creó un usuario en AD, restablezca la contraseña del usuario o cambie la membresía de un grupo de seguridad específico.

La sección GPO descrita anteriormente no contiene opciones para otros registros de eventos deRegistros de aplicaciones y servicios -> Microsoft. Si necesita aumentar el tamaño de otro registro de eventos (que no sea el estándar), puede hacerlo a través del registro. La configuración del registro de eventos de Windows se almacena en HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesEventLog<log_name> clave de registro. El tamaño máximo del archivo de registro está determinado por elTamaño máximoparámetro (tipo REG_DWORD). Puede configurar el valor de registro del parámetro MaxSize para un registro de eventos personalizado en computadoras del dominio mediante las Preferencias de política de grupo.

Aprenda a utilizar GPO para configurar claves y ajustes de registro.

En este ejemplo, vamos a aumentar el tamaño delServicio de directorioinicie sesión en los controladores de dominio. La configuración de este registro se almacena en la siguiente clave de registro HKLMSYSTEMCurrentControlSetServicesEventLogDirectory Service.

1. Abra GPO y vaya aConfiguración de la computadora->Preferencias->Configuración de Windows->Registro;
2. SeleccionarNuevo->Artículo de registro;
3. Cree un nuevo parámetro de registro con la siguiente configuración:

   Hive: HKEY_LOCAL_MACHINE
   Key path: SYSTEMCurrentControlSetServicesEventLogDirectory Service
   Value name: MaxSize
   Value type: REG_DWORD
   Value data: 52428800 (the maximum file size is given in bytes. In our example it is 50 MB.)

   

Por ejemplo, si desea almacenar registros con un historial de conexiones de Escritorio remoto a un host RDS durante un período prolongado, debe aumentar el tamaño delTerminal-Servicios-RemoteConnectionManagerregistro.

Al aumentar el tamaño de los registros de eventos de Windows, puede obtener más información durante más tiempo. Por ejemplo, puede utilizar registros de eventos para obtener el historial de reinicio de Windows, averiguar quién eliminó un archivo de una carpeta de red compartida o cambió los permisos NTFS.