Cómo revisar los eventos de inicio de sesión en un servidor Windows

En Windows, puede habilitar 'Políticas de auditoría' para ciertos eventos que el sistema operativo detecta.Una de esas políticas de auditoría es auditar cualquier evento de inicio de sesión / cierre de sesión que ocurran en su servidor.Esta puede ser una buena manera de registrar qué cuentas están iniciando sesión en su servidor, cuándo, y desde dónde.

Esta guía pasará por alto cómo habilitar los eventos de inicio de sesión de la auditoría, verlos, y crear una vista personalizada para filtrar solo a los eventos de inicio de sesión.

Habilitar la auditoría de eventos de inicio de sesión

Todas las políticas de auditoría son parte de la Política de grupo y, como tales, se pueden habilitar o deshabilitar desde el Editor de políticas de grupo local.

Primero: Abre el Editor de políticas de grupo.

Segundo: Navegar a Configuración de la computadora -> Configuración de Windows -> Configuración de seguridad -> Políticas locales -> Política de auditoría.

Tercero: Haga clic derecho en 'Auditore Logon Events' y seleccione Propiedades.

Cuarto: Compruebe tanto el Éxito y Fracaso Casillas de verificación para permitir la auditoría de intentos de inicio de sesión exitosos y fallidos. Hacer clic Okay.

Ahora está habilitado la auditoría de inicio de sesión, y cualquier evento de inicio de sesión y cierre de sesión futuro se rastree dentro del visor de eventos.

Visualización de eventos de inicio de sesión

Para ver los eventos de inicio de sesión que ahora están siendo auditados, puede verlos desde el visor de eventos.

Primero: Abra el Visor de eventos.

Segundo: Navegar a Registros de Windows -> Seguridad.

Esta sección del Visor de eventos tendrá los eventos de inicio de sesión y cierre de sesión en la lista.Seleccionar uno de los eventos luego mostrará los detalles de ese evento en el cuadro en la parte inferior.

Filtrar solo eventos de inicio de sesión

Para ver solo la lista de eventos de inicio de sesión y no todos los eventos de seguridad que se han detectado, puede crear una vista personalizada.

Primero: En el Visor de eventos, vuelva a la Registros de Windows -> Seguridad sección.

Segundo: Seleccione Crear vista personalizada… en la barra lateral derecha.

Tercero: Haga clic en Donde dice e ingrese los IDS de los eventos que desea ver. Opcionalmente, también puede filtrar por nombre de usuario especificando un usuario en el Usuaria: caja de texto. Seleccione OKAY.

Identificador de evento Tipo de evento 4624 Inicio de sesión 4672 Inicio de sesión especial 4634 Cierre de sesión

Cuarto: Asigne un nombre a su vista y, opcionalmente, seleccione una carpeta para colocarla. Haga clic en Okay.

Ahora podrá ver su filtro en el Visor de eventos en Vistas personalizadas -> Nombre de su vista.