{"id":900547,"date":"2026-10-14T17:01:34","date_gmt":"2026-10-14T17:01:34","guid":{"rendered":"https:\/\/www.ninjaone.com\/blog\/logs-de-rdp-visor-de-eventos\/"},"modified":"2026-10-14T17:01:35","modified_gmt":"2026-10-14T17:01:35","slug":"logs-de-rdp-visor-de-eventos","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/es\/blog\/logs-de-rdp-visor-de-eventos\/","title":{"rendered":"C\u00f3mo auditar Terminal Services y RDP en el Visor de eventos"},"content":{"rendered":"<div class=\"in-context-cta\"><h2 style=\"margin-top: 0px;\">Puntos clave<\/h2>\n<ul>\n<li>Identifica los ID de evento y las ubicaciones de registro exactas de las actividades RDP relevantes, como 1149, 4624 y 4625, y activa esos registros.<\/li>\n<li>Define l\u00edneas base y crea reglas de alerta para los inicios de sesi\u00f3n fallidos, las conexiones fuera de horario y los intentos repetidos, de modo que reduzcas el ruido y detectes los abusos pronto.<\/li>\n<li>Automatiza la recopilaci\u00f3n de registros con scripts de PowerShell, tareas programadas o el reenv\u00edo de eventos integrado en Windows para enviar los logs de RDP a una ubicaci\u00f3n centralizada y analizarlos.<\/li>\n<\/ul>\n<\/div>\n<p>Sin un m\u00e9todo estructurado para registrar y revisar las sesiones de escritorio remoto, los inicios de sesi\u00f3n sospechosos pueden pasar desapercibidos, lo que deriva en auditor\u00edas tediosas y en brechas de cumplimiento. Esta gu\u00eda explica c\u00f3mo recopilar y revisar los registros de eventos de Windows relacionados con RDP mediante el Visor de eventos, para que los equipos detecten actividad sospechosa y cumplan los requisitos de auditor\u00eda.<\/p>\n<h2>Proceso en 5 pasos para analizar los logs de RDP<\/h2>\n<p>Antes de empezar, aseg\u00farate de contar con acceso administrativo, con las directivas de auditor\u00eda avanzada activadas y con una ubicaci\u00f3n centralizada donde guardar los logs de RDP exportados.<\/p>\n<p><strong>Requisitos previos para consultar los logs de RDP<\/strong><\/p>\n<ul>\n<li>Permisos de administrador local o de dominio para activar y consultar los logs de RDP.<\/li>\n<li>Directiva de auditor\u00eda avanzada configurada para capturar los eventos de inicio y cierre de sesi\u00f3n dentro de la categor\u00eda de auditor\u00eda Inicio y cierre de sesi\u00f3n.<\/li>\n<li>Registros operativos de <strong>TerminalServices\u2011RemoteConnectionManager<\/strong> y <strong>TerminalServices\u2011LocalSessionManager<\/strong> activados en el Visor de eventos.<\/li>\n<li>Un recopilador de logs centralizado, un <a href=\"https:\/\/www.ninjaone.com\/it-hub\/endpoint-security\/what-is-security-information-and-event-management-siem\/\">SIEM<\/a> o una ubicaci\u00f3n de red compartida donde almacenar los archivos de logs de RDP exportados.<\/li>\n<\/ul>\n<p>Tambi\u00e9n necesitar\u00e1s PowerShell (o un motor de scripting equivalente) disponible en cada endpoint para extraer los registros de forma automatizada. Con esto en mente, ya puedes pasar al flujo de trabajo recomendado.<\/p>\n<h3>1. Identifica los logs clave de RDP y Terminal Services<\/h3>\n<p>Los registros de eventos contienen una cantidad enorme de datos, as\u00ed que conviene filtrar el ruido e identificar los registros e ID de evento concretos que reflejan la actividad de RDP.<\/p>\n<table>\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><strong>ID de evento<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>Descripci\u00f3n<\/strong><\/td>\n<\/tr>\n<tr>\n<td>1149<\/td>\n<td>Solicitud de conexi\u00f3n RDP correcta (RemoteConnectionManager)<\/td>\n<\/tr>\n<tr>\n<td>4624<\/td>\n<td>Inicio de sesi\u00f3n correcto (registro de seguridad)<\/td>\n<\/tr>\n<tr>\n<td>4625<\/td>\n<td>Inicio de sesi\u00f3n fallido (registro de seguridad)<\/td>\n<\/tr>\n<tr>\n<td>4634<\/td>\n<td>Cierre de sesi\u00f3n (registro de seguridad)<\/td>\n<\/tr>\n<tr>\n<td>4647<\/td>\n<td>Cierre de sesi\u00f3n iniciado por el usuario (registro de seguridad)<\/td>\n<\/tr>\n<tr>\n<td>21<\/td>\n<td>Inicio de sesi\u00f3n de la sesi\u00f3n (LocalSessionManager)<\/td>\n<\/tr>\n<tr>\n<td>22<\/td>\n<td>Inicio del shell de la sesi\u00f3n (LocalSessionManager)<\/td>\n<\/tr>\n<tr>\n<td>24<\/td>\n<td>Desconexi\u00f3n de la sesi\u00f3n (LocalSessionManager)<\/td>\n<\/tr>\n<tr>\n<td>25<\/td>\n<td>Reconexi\u00f3n de la sesi\u00f3n (LocalSessionManager)<\/td>\n<\/tr>\n<tr>\n<td>4778<\/td>\n<td>Reconexi\u00f3n de sesi\u00f3n remota (TerminalServices)<\/td>\n<\/tr>\n<tr>\n<td>4779<\/td>\n<td>Desconexi\u00f3n de sesi\u00f3n remota (TerminalServices)<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>C\u00e9ntrate en los ID de evento principales: 1149 (conexi\u00f3n correcta), 4624\/4625 (inicio de sesi\u00f3n correcto\/fallido), 4634\/4647 (cierre de sesi\u00f3n), 21, 22, 24, 25 (ciclo de vida de la sesi\u00f3n) y 4778\/4779 (reconexi\u00f3n\/desconexi\u00f3n).<\/p>\n<p>Por \u00faltimo, comprueba que la directiva de auditor\u00eda avanzada registre los eventos de inicio y cierre de sesi\u00f3n en el registro de seguridad, y documenta las rutas de los registros y los ID en una hoja de referencia para consultarlos r\u00e1pidamente durante las investigaciones y al crear alertas.<\/p>\n<h3>2. Consulta y exporta eventos con PowerShell<\/h3>\n<p>Puedes ejecutar <strong>Get\u2011WinEvent<\/strong> para extraer los ID de evento y los registros que necesites y, despu\u00e9s, canalizar la salida a <strong>Export\u2011Csv<\/strong> para guardar los resultados en un archivo CSV y analizarlos o usarlos en informes. Consulta los <a href=\"https:\/\/learn.microsoft.com\/en-us\/powershell\/module\/microsoft.powershell.diagnostics\/get-winevent?view=powershell-7.5&#038;viewFallbackFrom=powershell-7.3\" target=\"_blank\" rel=\"noopener\">Get-WinEvent par\u00e1metros<\/a> para montar un script personalizado para cualquier tarea.<\/p>\n<p>Si usas NinjaOne, tambi\u00e9n tienes a tu disposici\u00f3n el script ya preparado para <a href=\"https:\/\/www.ninjaone.com\/es\/script-hub\/busqueda-en-registros-de-eventos\/\">usar PowerShell y consultar los registros de eventos<\/a>. El script permite omitir ID de evento concretos y filtrar eventos seg\u00fan el contenido del mensaje, con amplias opciones de personalizaci\u00f3n.<\/p>\n<h3>3. Define l\u00edneas base y reglas de alerta<\/h3>\n<p>Al establecer l\u00edneas base realistas y centrarte solo en la actividad RDP an\u00f3mala, puedes detectar y diagnosticar con eficacia ataques habituales como el <a href=\"https:\/\/www.ninjaone.com\/es\/it-hub\/endpoint-security\/relleno-de-credenciales\/\">credential stuffing<\/a>, los intentos de fuerza bruta o el movimiento lateral. Estos son algunos ejemplos pr\u00e1cticos de reglas de alerta que puedes aplicar hoy mismo.<\/p>\n<h4>Define el comportamiento normal de RDP<\/h4>\n<p>Identifica los usuarios habituales, las horas de inicio de sesi\u00f3n frecuentes y los rangos de IP de origen previstos para cada sistema, y registra m\u00e9tricas de referencia como el promedio de conexiones diarias y las horas punta de inicio de sesi\u00f3n.<\/p>\n<h4>Crea alertas basadas en anomal\u00edas<\/h4>\n<p>Para aislar mejor las actividades sospechosas, define umbrales que se activen con m\u00e1s de 5 eventos de inicio de sesi\u00f3n fallido (4625) desde la misma IP en 10 minutos, con conexiones RDP correctas (1149) fuera del horario laboral y con secuencias r\u00e1pidas de desconexi\u00f3n y reconexi\u00f3n (24 \u2192 25) cuando cambia la IP del cliente.<\/p>\n<h4>Implementa las alertas en tu plataforma de monitorizaci\u00f3n<\/h4>\n<p>Configura tu SIEM o las pol\u00edticas de alertas de NinjaOne para monitorizar la actividad relacionada con RDP directamente desde los endpoints gestionados. En NinjaOne puedes crear condiciones de alerta personalizadas basadas en ID de evento concretos o en m\u00e9tricas del sistema recogidas por el agente, y definir los canales de notificaci\u00f3n adecuados (correo electr\u00f3nico, gesti\u00f3n de tickets, SMS o integraciones como Slack).<\/p>\n<p>Ajusta los umbrales de alerta con el tiempo para reducir los falsos positivos: modifica condiciones y exclusiones a medida que observes los patrones normales de uso y las ventanas de mantenimiento. Revisa peri\u00f3dicamente las alertas activadas y actualiza tus reglas y l\u00edneas base para reflejar los cambios en los patrones de uso y en la infraestructura.<\/p>\n<h3>4. Ampl\u00eda la retenci\u00f3n y aumenta la capacidad de los registros<\/h3>\n<p>Es f\u00e1cil pasar por alto que el tama\u00f1o predeterminado de los registros de eventos suele ser demasiado peque\u00f1o para las consultas de una investigaci\u00f3n.<\/p>\n<p>Para configurar el tama\u00f1o predeterminado del registro, usa el comando <a href=\"https:\/\/learn.microsoft.com\/en-us\/windows-server\/administration\/windows-commands\/wevtutil\" target=\"_blank\" rel=\"noopener\">wevtutil<\/a> en un <a href=\"https:\/\/www.ninjaone.com\/es\/blog\/powershell-con-privilegios-elevados\/\">s\u00edmbolo del sistema<\/a> con privilegios elevados. Ejecuta <strong>wevtutil sl<\/strong> (sl = set-log, modifica la configuraci\u00f3n del registro) junto con el par\u00e1metro <strong>\/ms<\/strong> (tama\u00f1o m\u00e1ximo, en bytes) para ajustar la configuraci\u00f3n de un registro concreto (por ejemplo, <strong>wevtutil sl &lt;logname&gt; \/ms:&lt;bytes&gt;<\/strong>)<\/p>\n<p>Seg\u00fan Microsoft, el tama\u00f1o m\u00ednimo de registro es de 1048576 bytes (1024 KB) y los archivos de registro son siempre m\u00faltiplos de 64 KB, por lo que cualquier valor que introduzcas se redondear\u00e1 en consecuencia. Los cambios se aplican de inmediato y se mantienen despu\u00e9s de reiniciar.<\/p>\n<p>Por su parte, <strong>\/rt:&lt;Retention&gt;<\/strong> puede establecerse en true o false (por ejemplo,<strong> \/rt:true<\/strong>). Si lo pones en true, el sistema dejar\u00e1 de registrar eventos cuando los registros alcancen su capacidad m\u00e1xima. Con esta configuraci\u00f3n, los datos tendr\u00e1n que borrarse manualmente.<\/p>\n<p>Si eliges false, el sistema sobrescribir\u00e1 los eventos m\u00e1s antiguos cuando sea necesario.<\/p>\n<p><strong>Nota<\/strong>: si el modo de retenci\u00f3n del registro de eventos est\u00e1 en true y el registro alcanza su tama\u00f1o m\u00e1ximo, Windows conserva los eventos existentes y descarta los nuevos. Para no perder sin darte cuenta datos importantes de seguridad o auditor\u00eda, valora aumentar la capacidad del registro y usar la opci\u00f3n de sobrescritura cuando necesites un registro continuo.<\/p>\n<h3>5. Correlaciona la actividad RDP y genera informes<\/h3>\n<p>Vincula los eventos RDP recopilados con los datos de usuario, dispositivo e IP para convertir los registros en bruto en informaci\u00f3n \u00fatil y en documentaci\u00f3n lista para una auditor\u00eda. As\u00ed podr\u00e1s crear un informe semanal con las conexiones correctas, los intentos fallidos, los accesos fuera de horario y los or\u00edgenes de cliente \u00fanicos.<\/p>\n<p>Aqu\u00ed tienes una gu\u00eda complementaria sobre <a href=\"https:\/\/www.ninjaone.com\/es\/blog\/automatizar-monitorizacion-registro-eventos-windows\/\">c\u00f3mo automatizar el registro de eventos<\/a> en distintos entornos o clientes.<\/p>\n<h2>Estrategias de monitorizaci\u00f3n de RDP con NinjaOne<\/h2>\n<p>NinjaOne cubre las carencias de tu proceso de <a href=\"https:\/\/www.ninjaone.com\/es\/supervision-gestion-de-endpoints\/plataforma-de-supervision-remota\/\">monitorizaci\u00f3n de RDP<\/a> al automatizar el despliegue de directivas de auditor\u00eda y la creaci\u00f3n de alertas, con lo que obtienes una visibilidad fiable y auditable de cada sesi\u00f3n de escritorio remoto.<\/p>\n<p>La <a href=\"https:\/\/www.ninjaone.com\/es\/script-hub\/\">biblioteca de scripts de NinjaOne<\/a> y su conjunto de herramientas de gesti\u00f3n de pol\u00edticas tambi\u00e9n te permiten administrar los logs de RDP de forma centralizada con una intervenci\u00f3n manual m\u00ednima, lo que aporta una cobertura de seguridad m\u00e1s coherente y libera recursos valiosos de tu stack de TI.<\/p>\n<p><strong>Temas relacionados:<\/strong><\/p>\n<ul>\n<li><a href=\"https:\/\/www.ninjaone.com\/es\/blog\/buenas-practicas-acceso-remoto\/\">Buenas pr\u00e1cticas de acceso remoto para MSP y profesionales de TI<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/es\/docs\/inscripcion-de-dispositivos-y-herramientas-de-gestion\/inventario-de-hardware\/consultar-informes-detalles-sistema\/\">Consultar informes de detalles del sistema<\/a> [para usuarios de NinjaOne]<\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/es\/blog\/eliminar-el-historial-del-rdc\/\">C\u00f3mo eliminar el historial de Conexi\u00f3n a Escritorio remoto en Windows<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/es\/blog\/automatizar-monitorizacion-registro-eventos-windows\/\">C\u00f3mo automatizar la monitorizaci\u00f3n del registro de eventos de Windows en varios clientes<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/es\/script-hub\/busqueda-en-registros-de-eventos\/\">Gu\u00eda completa para usar PowerShell en b\u00fasquedas eficientes del registro de eventos<\/a> [Script Hub]<\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"<p>Sin un m\u00e9todo estructurado para registrar y revisar las sesiones de escritorio remoto, los inicios de sesi\u00f3n sospechosos pueden pasar desapercibidos, lo que deriva en auditor\u00edas tediosas y en brechas de cumplimiento. Esta gu\u00eda explica c\u00f3mo recopilar y revisar los registros de eventos de Windows relacionados con RDP mediante el Visor de eventos, para que [&hellip;]<\/p>\n","protected":false},"author":35,"featured_media":742546,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"","_lmt_disable":"","footnotes":""},"categories":[4357],"tags":[],"class_list":["post-900547","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-operaciones-de-ti"],"acf":[],"modified_by":null,"_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/900547","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/users\/35"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/comments?post=900547"}],"version-history":[{"count":1,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/900547\/revisions"}],"predecessor-version":[{"id":900548,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/900547\/revisions\/900548"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/media\/742546"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/media?parent=900547"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/categories?post=900547"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/tags?post=900547"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}