🔍 Monitorización de logins Windows con PowerShell: detecta intrusiones antes de que sea tarde

El tiempo medio que un atacante permanece dentro de un sistema Windows comprometido sin ser detectado se mide en meses, no en horas, y la causa siempre es la misma: el registro de seguridad de Windows está activo pero nadie lo mira. La monitorización de logins Windows es la capa defensiva que convierte ese registro en una alarma activa.

En esta redacción técnica de ciberseguridad documentamos cómo implementar esta vigilancia con un único script de PowerShell que automatiza el análisis de los eventos 4624, 4625, 4672 y 4740 mediante tres tareas programadas. Estas tareas detectan fuerza bruta, password spraying, Pass-the-Hash y logins fuera de horario sin instalar herramientas externas. Según el informe Mandiant M-Trends sobre tiempo de permanencia de atacantes, la mediana de detección sin monitorización activa asciende a semanas o meses.

Encuentra la documentación completa, mapping a MITRE ATT&CK, integración con SIEM y Sysmon en nuestra central técnica de Windows seguro.

📅 2026 · 🕐 9 minutos de lectura

📌 ¿Qué es la monitorización de logins Windows?

La monitorización de logins Windows consiste en activar la política de auditoría y analizar de forma continua los eventos que el sistema registra cada vez que un usuario intenta autenticarse. Windows escribe esta información en el log Security, accesible desde PowerShell con Get-WinEvent.

• ✔ Detecta fuerza bruta y password spraying contra cuentas locales o de dominio
• ✔ Identifica accesos exitosos en horarios anómalos
• ✔ Registra escalaciones de privilegios mediante el evento 4672
• ✔ Captura cuentas bloqueadas (4740) tras superar el umbral de intentos
• ✔ Convierte análisis puntual en serie histórica con CSV
• ✔ Sienta la base para integración con SIEM (Splunk, Elastic, Wazuh, Sentinel)

🔢 Los cuatro eventos clave

🔐 Logon Types: qué significa cada tipo en el evento 4624

🚨 5 ataques que detecta la monitorización de logins Windows

⚙️ Script completo de monitorización de logins Windows con 3 tareas programadas

📅 Las 3 tareas programadas

📥 Cómo instalar el script — un solo comando

Amplía primero el log Security a 200 MB y luego pega el comando de instalación en PowerShell como administrador:

wevtutil sl Security /ms:209715200

Invoke-WebRequest -Uri "https://seguridadenmipc.com/wp-content/uploads/2026/06/Monitor-Logins.txt" -OutFile "$HOME\monitor-logins.ps1" -UseBasicParsing; Set-ExecutionPolicy -Scope Process -ExecutionPolicy Bypass -Force; & "$HOME\monitor-logins.ps1"

⚠️ Problemas conocidos y soluciones

↩️ Script de reversión (elimina las 3 tareas)

Si necesitas detener la monitorización de logins Windows, ejecuta este script. Elimina primero las 3 tareas para que no se reactiven en el siguiente disparador.

# ============================================================
# Revertir monitorizacion de logins Windows
# ============================================================
$tareas = @("Monitor-Logins-Inicio", "Monitor-Logins-Logon", "Monitor-Logins-Horaria")
foreach ($t in $tareas) {
    if (Get-ScheduledTask -TaskName $t -ErrorAction SilentlyContinue) {
        Unregister-ScheduledTask -TaskName $t -Confirm:$false
        Write-Host "[OK] Tarea $t eliminada." -ForegroundColor Green
    }
}
# Auditoria mantenida activa por seguridad.
# Para desactivarla descomenta:
# auditpol /set /subcategory:"Logon"           /success:disable /failure:disable | Out-Null
# auditpol /set /subcategory:"Special Logon"   /success:disable /failure:disable | Out-Null
# auditpol /set /subcategory:"Account Lockout" /success:disable /failure:disable | Out-Null
Write-Host "[OK] Tareas eliminadas. Auditoria mantenida activa." -ForegroundColor Green
Write-Host "     Logs en C:\Logs\monitor-logins.log" -ForegroundColor Cyan

🔎 Cómo comprobar que la monitorización de logins Windows está activa

wevtutil sl Security /ms:209715200

Invoke-WebRequest -Uri "https://seguridadenmipc.com/wp-content/uploads/2026/06/Monitor-Logins.txt" -OutFile "$HOME\monitor-logins.ps1" -UseBasicParsing; Set-ExecutionPolicy -Scope Process -ExecutionPolicy Bypass -Force; & "$HOME\monitor-logins.ps1"

Get-Content C:\Logs\monitor-logins.log -Tail 30

🚨 Protocolo de respuesta ante alerta

⚠️ Riesgos y efectos del script

🛠️ Integración de la monitorización de logins Windows con SIEM y herramientas avanzadas

🛠️ Herramientas complementarias

• 🔬 Sysmon – Telemetría detallada: procesos, red y registro. Complemento esencial al log Security
• 📊 Chainsaw – Análisis rápido de .evtx con reglas Sigma preconfiguradas
• 🔍 DeepBlueCLI – PowerShell de SANS para análisis forense del log Security
• 📋 Hayabusa – Threat hunting sobre logs .evtx con reglas Sigma
• 📡 Windows Event Forwarding (WEF) – Centralización nativa sin agentes adicionales
• 🔐 Sigma Rules – Reglas de detección traducibles a cualquier SIEM

🆚 Sistema sin monitorización de logins Windows vs con monitorización activa

🏁 Conclusión

La diferencia entre un equipo que detecta a un atacante en 24 horas y otro que tarda meses no está en el antivirus ni en el firewall: está en si alguien ha implementado la monitorización de logins Windows o no. Activar tres subcategorías con auditpol, ampliar el log a 200 MB y dejar tres tareas programadas vigilando los cuatro Event IDs críticos cuesta diez minutos la primera vez y cero a partir de la segunda.

Comparte este artículo con quien administre Windows sin haber mirado nunca el log Security. La monitorización de logins Windows pasiva no protege; la activa marca la diferencia.

❓ Preguntas frecuentes

¿Qué diferencia hay entre 4624 y 4625?

👉 El 4624 registra un login exitoso; el 4625 registra un intento fallido. Ambos son necesarios para correlacionar fuerza bruta (muchos 4625) con compromiso exitoso (un 4624 tras los 4625).

¿Qué es el evento 4672 y por qué es crítico?

👉 Se dispara cuando Windows asigna privilegios especiales (SeDebugPrivilege, SeTakeOwnershipPrivilege) tras un login. Un 4672 inesperado en una cuenta normal es la firma típica de una escalación reciente.

¿Las 3 tareas ralentizan el equipo?

👉 No. Cada ejecución dura menos de 5 segundos en background como SYSTEM. La carga combinada suma menos de 2 minutos de CPU al día.

¿Cómo consulto las tareas programadas?

👉 PowerShell: Get-ScheduledTask -TaskName "Monitor-Logins-*" | Select TaskName, State, LastRunTime, LastTaskResult. GUI: Win+R → taskschd.msc → Biblioteca → Monitor-Logins-*.

¿Qué hago si veo una alerta de fuerza bruta?

👉 Identifica la IP con Get-WinEvent -FilterHashtable @{LogName='Security';Id=4625} -MaxEvents 50 | Select TimeCreated, Message. Bloquea si es externa, aísla si es interna, y cambia la contraseña de la cuenta atacada.

¿Este script sustituye a un EDR?

👉 No. Un EDR cubre telemetría de procesos, integridad de memoria y análisis de comportamiento. La monitorización de logins Windows con este script cubre la capa de autenticación, el punto ciego más común. Para un equipo doméstico es suficiente; para una empresa, es complementaria.

¿Cómo envío los eventos a un SIEM?

👉 La forma nativa es Windows Event Forwarding (WEF): ejecuta winrm quickconfig en el cliente y configura la suscripción con wecutil cs. Alternativamente usa agentes como Winlogbeat (Elastic), Wazuh Agent o Splunk Universal Forwarder.

¿Cómo desactivo solo la tarea horaria?

👉 Win+R → taskschd.msc → localiza Monitor-Logins-Horaria → pulsa Deshabilitar. Las otras dos seguirán funcionando. También puedes cambiar el intervalo de 1 hora a 4 o 6 horas editando el desencadenador.