Cómo exportar registros de eventos de Windows con PowerShell

Si tiene privilegios administrativos en Windows, puede exportar registros de eventos de Windows mediante PowerShell con solo dos comandos. Hay varias formas de realizar esta sencilla tarea, según la versión de Windows, mediante el cmdlet Get-WinEvent o Get-EventLog.

Cómo utilizar PowerShell para exportar registros de eventos del sistema

Usando PowerShell, puedes extraer registros pares siguiendo estas tres instrucciones.

Uso de Get-WinEvent

El uso de Get-EventLog

Uso de wevtutil para obtener datos EVTX sin procesar

Esto se puede ejecutar desde la Terminal de Windows o desde PowerShell.

Puede aprovechar Get-WinEvent para exportar el registro del sistema a un archivo .csv:

Ejecute el siguiente comando: Get-WinEvent -LogName System | Export-Csv -Path "C:LogSystemLog.csv" -NoTypeInformation

LogName System son los registros del sistema que se exportan en formato CSV.

Si desea un archivo .csv con los registros de las últimas 24 horas:

Ejecute Get-WinEvent con los parámetros LogName, Application y StartTime Get-Date ****Export-Csv -Path "C:LogsApplicationLastDay.csv" -NoTypeInformation****, AddDays(-1) **** Exporte directamente el registro de la aplicación a un archivo de texto usando Get-EventLog:

"C:LogApplicationLog.txt" Esta es la ruta al archivo de registro de la aplicación, tal como se especifica en el parámetro "LogName Application" en el comando Get-EventLog. El resultado se guardará como un archivo de texto simple.

Consulte: Guía para eliminar el registro de eventos de Windows

Asunto: Registros EVTX completos usando wevtutil-

El servicio de registro de eventos de Windows utiliza su propio formato propietario, .evtx, para almacenar archivos conocidos como registros de eventos de Windows o archivos EVTX. Almacenan información sobre eventos que crean el sistema operativo y las aplicaciones, como eventos del sistema, problemas de aplicaciones y auditorías de seguridad.

Seguridad "C:LogsSecurityLog.evtx" creado por wevtutil epl.

Aquí, "EPL" es el registro de exportación. El comando anterior generará los registros en el formato EVTX sin procesar predeterminado. Una ventaja de generar un archivo EVTX es que se puede abrir directamente en el visor de eventos.

Atentamente.

¿Cómo abrir un archivo EVTX?

El formato de archivo EVTX se puede abrir y estudiar con varios programas diferentes. Entre las formas más frecuentes de ver y comprender los registros de eventos, se debe mencionar la herramienta Event Viewer, integrada en Windows. Podrá cargar un archivo EVTX externamente con Event Viewer presionando Win + R, escribiendo eventvwr y luego seleccionando "Abrir registro guardado" desde dentro.

Con estos pasos, definitivamente podrás exportar registros de eventos de Windows con PowerShell fácilmente.