Práctica: Supervisar un servidor con tareas programadas y registros

Lo que vas a aprender en este TP

• Escribir en un registro de eventos
• Programar un script de PowerShell
• Filtrar los registros y configurar la recuperación de un servicio

Introducción #

Lo que vas a aprender en esta sección

• Escribir en un registro de eventos
• Programar un script de PowerShell
• Filtrar los registros y configurar la recuperación de un servicio

Contexto. El servicio de impresión de un servidor se detiene con frecuencia y el disco se llena sin aviso. Antes de instalar una herramienta de supervisión, configuras una supervisión nativa.

Requisitos: una máquina virtual Windows Server 2025 desechable (evaluación gratuita) con una cuenta de administrador, y PowerShell abierto como administrador  ·  Duración estimada: 45 min

Una tarea programada que escribe eventos, consultas Get-WinEvent y un servicio que se reinicia solo.

Puesta en marcha #

Pasos guiados, con su corrección.

1. 1. Crear un origen de eventos

   ¿Por qué? Un script que escribe en los registros de Windows es visible para todas las herramientas de supervisión.

   Crea el origen ControleServeur en el registro Application y escribe un evento de prueba (ID 1000).

2. 2. Escribir el script de control

   ¿Por qué? Un control simple y fiable vale más que una herramienta mal configurada.

   Escribe C:\TP\Scripts\Controle.ps1: advertencia (ID 2001) si un volumen tiene menos del 15 % libre, error (ID 2002) por cada servicio automático detenido y, si no, un evento 1000.

3. 3. Programar el control

   ¿Por qué? El programador ejecuta el script sin sesión iniciada, con la cuenta SYSTEM.

   Crea la tarea \Exploitation\Controle serveur cada 15 minutos, ejecútala y comprueba su resultado.

4. 4. Provocar y detectar un incidente

   ¿Por qué? Se comprueba que la alerta se dispara de verdad.

   Detén el servicio Spooler, vuelve a lanzar la tarea y encuentra el evento 2002 y la parada del servicio en el registro System (ID 7036).

5. 5. Recuperación automática

   ¿Por qué? El administrador de servicios puede reiniciar un servicio caído sin intervención.

   Configura Spooler para reiniciarse tras 1 minuto en los dos primeros fallos y simula un bloqueo matando su proceso.

6. 6. Analizar los registros

   ¿Por qué? Unas pocas consultas responden a las preguntas más frecuentes de un incidente.

   Muestra los errores de System de las últimas 24 horas agrupados por origen, los últimos reinicios (1074, 6008) y los inicios de sesión fallidos (4625) de la última hora.

Nivel de dificultad : ●●○○○ (2/5)