Windows XP El visor de sucesos

Servicio de Informática
Atención al Usuario
Windows XP
El visor de sucesos
Sección de Atención al Usuario
Ultima modificación: 01 de Julio de 2.003
El visor de sucesos de Windows XP
TABLA DE CONTENIDOS
1. Introducción al visor de sucesos de Windows XP
2. Funcionamiento del visor de sucesos
2.1.
Filtrar sucesos
2.2.
Liberar el registro de sucesos cuando está lleno
2.3.
Buscar tipos específicos de sucesos
2.4.
Ver detalles acerca de un suceso
Pág. 2 de 8
El visor de sucesos de Windows XP
Pág. 3 de 8
1. Introducción al visor de sucesos de Windows XP
Mediante los registros de sucesos del Visor de sucesos, podemos reunir información acerca de los
problemas del hardware, el software y nuestro sistema. También podemos supervisar los sucesos de
seguridad de Windows XP.
Un equipo que ejecute cualquier versión de Windows XP guarda los sucesos en tres tipos de registros:
ƒ
Registro de la aplicación. El registro de la aplicación contiene los sucesos registrados por
aplicaciones o programas. Por ejemplo, un programa de base de datos podría registrar un error
de archivo en el registro de la aplicación. Los programadores deciden qué sucesos se deben
supervisar.
ƒ
Registro de seguridad. El registro de seguridad guarda sucesos como intentos de inicio de
sesión válidos y no válidos, además de sucesos relacionados con el uso de recursos, como la
creación, apertura o eliminación de archivos u otros objetos. Un administrador puede
especificar los sucesos que se registrarán en el registro de seguridad. Por ejemplo, si tenemos
habilitada la auditoría de inicio de sesión, se registrarán en el registro de seguridad los intentos
de inicio de sesión en el sistema.
ƒ
Registro del sistema. El registro del sistema contiene sucesos registrados por componentes
del sistema Windows XP. Por ejemplo, el error de la carga de un controlador u otro componente
del sistema durante el inicio queda registrado en el registro del sistema. Los tipos de sucesos
registrados por los componentes del sistema están predeterminados por Windows XP.
El Visor de sucesos mostrará los siguientes tipos de sucesos:
ƒ
Error. Problema importante, como pérdida de datos o de funcionalidad. Por ejemplo, si no se
puede cargar un servicio durante el inicio, se registrará un suceso de error.
ƒ
Advertencia. Suceso que no es importante necesariamente, pero que indica la posibilidad de
problemas en el futuro. Por ejemplo, cuando queda poco espacio de disco, se registrará un
suceso de advertencia.
ƒ
Información. Un suceso que describe el funcionamiento correcto de una aplicación,
controlador o sistema. Por ejemplo, cuando un controlador de red carga correctamente, se
registrará un suceso de Información.
ƒ
Auditoría de aciertos. Un intento de acceso de seguridad auditado correcto. Por ejemplo, el
intento correcto de un usuario para iniciar una sesión en el sistema se registrará como un
suceso de Auditoría de aciertos.
ƒ
Auditoría de errores. Un intento de acceso de seguridad auditado erróneo. Por ejemplo, si un
usuario intenta tener acceso a una unidad de red y se produce un error, el intento se registrará
como suceso de Auditoría de errores.
El servicio Registro de sucesos se ejecuta automáticamente al iniciar Windows. Todos los usuarios
pueden ver los registros de aplicación y sistema, pero sólo los administradores pueden tener acceso a
los registros de seguridad.
De forma predeterminada, el registro de seguridad está desactivado. Podemos utilizar la Directiva de
grupo para habilitar el registro de seguridad. El administrador también puede establecer en el Registro
directivas de auditoría que detengan el sistema cuando el registro de seguridad esté lleno.
2. Funcionamiento del visor de sucesos
Podemos acceder al visor de sucesos de varias formas:
ƒ
Siguiendo la siguiente secuencia de pasos: Botón Inicio, Panel de Control, Rendimiento y
mantenimiento, Herramientas administrativas y posteriormente haciendo doble clickk en
Visor de Sucesos.
ƒ
O bien, pulsando con el botón derecho del ratón en el icono Mi PC, en el escritorio y
seleccionando la opción Administrar.
En ambos, casos, la pantalla del visor de sucesos que nos aparecerá será similar a la siguiente:
El visor de sucesos de Windows XP
Pág. 4 de 8
En esta ventana podemos observar las tres categorías de sucesos mencionadas al principio de este
documento: Aplicación seguridad y sistema.
1.1.
Filtrar sucesos
El visor de sucesos puede llegar a contener una lista interminable de sucesos, especialmente si no la
hemos limpiado en mucho tiempo. Por lo tanto, nos puede interesar filtrar específicamente determinada
información que nos interese. Para filtrar una serie de sucesos determinados, sigue los siguientes pasos:
1.
Abre el Visor de sucesos. Para abrir el Visor de sucesos, haz click en Botón Inicio, Panel de
control, Rendimiento y mantenimiento, Herramientas administrativas y, a continuación,
haz doble click en Visor de sucesos.
2.
En el árbol de la consola, selecciona el registro que quieras filtrar (Aplicación, Seguridad o
Sistema).
3.
En el menú Ver, selecciona Filtro.
4.
En la ficha Filtro, especifica las características que desees. La ventana de Filtro es similar a la
siguiente:
El visor de sucesos de Windows XP
Pág. 5 de 8
Para volver al criterio predeterminado, pulsa en el botón Restaurar predeterminados.
Para desactivar el filtrado de sucesos, haz click en el menú Ver y selecciona Todos los registros.
1.2.
Liberar el registro de sucesos cuando está lleno
1.
Abre el Visor de sucesos. Para abrir el Visor de sucesos, haz click en Botón Inicio, Panel de
control, Rendimiento y mantenimiento, Herramientas administrativas y, a continuación,
haga doble click en Visor de sucesos. Debes haber iniciado la sesión como administrador o
miembro del grupo Administradores para liberar un registro de sucesos.
2.
En el árbol de la consola, haz click en el registro que deseas liberar (Aplicación, Seguridad o
Sistema).
3.
En el menú Acción, haz click en Borrar todos los sucesos.
Cuando un registro está lleno, se detiene la grabación de nuevos sucesos. Borrar el registro constituye
una forma de liberar el registro e iniciar la grabación de sucesos nuevos. También podemos liberar un
registro e iniciar la grabación de sucesos nuevos si sobrescribimos los sucesos anteriores. Para
sobrescribir sucesos, en el menú Acción, tenemos que hacer click en Propiedades y, a continuación,
hacer click en Sobrescribir sucesos cuando sea necesario. Así nos aseguraremos de que todos los
sucesos nuevos se escriben en el registro, incluso cuando el registro está lleno.
También podemos comenzar a registrar sucesos nuevos si aumenta el tamaño máximo del registro. Para
aumentar el tamaño del registro, en el menú Acción, tenemos que hacer click en Propiedades y, a
continuación, aumentar el Máximo tamaño de registro. Todo esto se puede ver en la siguiente
ventana de ejemplo:
El visor de sucesos de Windows XP
1.3.
Pág. 6 de 8
Buscar tipos específicos de sucesos
Entre la enorme cantidad de sucesos que puede tener el registro del visor de sucesos, nos puede
interesar buscar sucesos concretos y determinados. Para ello, tenemos que seguir los siguientes pasos:
1.
1.
2.
3.
4.
5.
Abre el Visor de sucesos. Para abrir el Visor de sucesos, haz click en Botón Inicio, Panel de
control, Rendimiento y mantenimiento, Herramientas administrativas y, a continuación,
haz doble click en Visor de sucesos.
En el árbol de la consola, haz click en el registro donde quieras buscar (Aplicación, Seguridad o
Sistema).
En el menú Ver, haz click en Buscar.
Bajo Tipos, haz click en los tipos de sucesos que quieras buscar.
En Origen de sucesos, Categoría, Id. del suceso, Usuario, Equipo o Descripción,
especifica información adicional acerca de los sucesos que quieres buscar.
Haz click en Buscar siguiente. Cada vez que el Visor de sucesos encuentre una coincidencia
con los criterios de búsqueda, nos aparecerá resaltada la entrada correspondiente en el Visor de
sucesos.
La ventana de búsqueda será similar a la siguiente:
El visor de sucesos de Windows XP
Pág. 7 de 8
En Descripción puedes escribir cualquier fragmento de texto incluido en la descripción de un registro de
suceso. Para obtener información adicional acerca de los otros campos, haz click con el botón derecho
del ratón en el campo y, después, haz click en ¿Qué es esto?
Para restaurar los criterios de búsqueda predeterminados, haz click en Restaurar predeterminados
antes de hacerlo en Buscar siguiente.
Los parámetros de búsqueda permanecerán en Buscar durante la sesión actual. La siguiente vez que
inicies el Visor de sucesos se restaurarán las opciones predeterminadas. Si buscas grupos de sucesos en
lugar de un pequeño número de sucesos individuales, también puedes filtrar el registro.
1.4.
Ver detalles acerca de un suceso
Para ver todos los detalles y la información detallada relacionada con un suceso, debemos seguir los
siguientes pasos:
1.
2.
3.
4.
Abre el Visor de sucesos. Para abrir el Visor de sucesos, haz click en Botón Inicio, Panel de
control, Rendimiento y mantenimiento, Herramientas administrativas y, a continuación,
haz doble click en Visor de sucesos.
En el árbol de la consola, haga click en el registro con el que desees trabajar (Aplicación,
Seguridad o Sistema).
En el panel de detalles, haz click en el suceso del que desees ver la información detallada.
En el menú Acción, haz click en Propiedades. La ventana de detalles de un suceso será
parecida a la siguiente:
El visor de sucesos de Windows XP
Pág. 8 de 8
Para ver los datos binarios como caracteres, en el cuadro Datos, haz click en Bytes. Para ver los datos
binarios como DWORDS, haz click en Palabras (Word). Para ver detalles acerca del suceso anterior o
del siguiente, haz click en la flecha arriba o en la flecha abajo. Para copiar los detalles de un suceso, haz
click en el botón Copiar (debajo de las flechas).
No todos los sucesos generan datos binarios. La interpretación de esta información puede hacerla un
programador experimentado o un técnico de soporte familiarizado con la aplicación de origen. Para
conservar la descripción de los sucesos con el formato de datos binarios, guarda los registros con el
formato de archivo de registro (*.evt). Si guardas los archivos con formato de texto (.txt) o de texto
delimitado con comas (.csv), perderás los datos binarios.