Cómo interpretar logs de Event Viewer en Windows 11

Cuando Windows 11 empieza a ir lento al arrancar, se cuelga sin motivo aparente o se reinicia solo, el primer impulso suele ser reinstalar, pasar un antivirus o culpar al último juego que hemos instalado. Sin embargo, el propio sistema ya guarda un registro muy detallado de todo lo que le va pasando: el Visor de eventos (Event Viewer). Si sabes leer esos registros, puedes entender qué ocurre al encender o apagar el PC, por qué falla Microsoft Defender para punto de conexión (MDE) o qué hay detrás de un pantallazo azul.

El objetivo de esta guía es que aprendas a interpretar los logs del Visor de eventos en Windows 11 de forma práctica, centrándonos en tres grandes bloques: los eventos de arranque y apagado del sistema, el uso de filtros y vistas personalizadas para localizar problemas concretos, y la lectura de los eventos avanzados relacionados con Microsoft Defender para punto de conexión (incluyendo errores ETW, telemetría, autenticación y conectividad a la nube). Todo está explicado con un lenguaje directo y coloquial, pero sin dejar fuera los detalles técnicos que realmente importan.

Qué es el Visor de eventos y qué tipos de registros hay

El Visor de eventos es la consola central donde Windows registra prácticamente todo lo que le sucede al sistema: inicios y apagados, errores de servicios, problemas de red, fallos de seguridad, cuelgues de aplicaciones, etc. No es la herramienta más bonita del mundo, pero sí una de las más potentes para diagnosticar problemas en Windows 11.

La ventana principal del Visor de eventos se divide en tres paneles: a la izquierda, un árbol con categorías; en el centro, la lista de eventos; y a la derecha, las acciones disponibles (filtrar, guardar vista, crear tarea, etc.). Esta estructura se mantiene desde versiones antiguas como Windows NT 3.1, aunque en Windows 11 se ha ampliado mucho la parte de registros de aplicaciones y servicios.

Dentro de “Registros de Windows” encontrarás tres registros clave: Aplicación, Seguridad y Sistema; en la sección de Aplicación puedes revisar registros de instalación. Ahí es donde se concentran la mayoría de eventos que vas a consultar cuando el PC se comporta de forma extraña, especialmente el registro Sistema para todo lo relacionado con arranques, apagados y errores de hardware o drivers.

En “Registros de aplicaciones y servicios” aparece algo más avanzado: los proveedores de Seguimiento de eventos para Windows (ETW). Aquí cada componente importante (por ejemplo, Microsoft Defender para punto de conexión, telemetría, diagnósticos de rendimiento, etc.) puede tener su propio log. Es el lugar ideal para depurar problemas muy concretos de un servicio o de una característica de seguridad.

Cómo abrir el Visor de eventos en Windows 11 y orientarte en la interfaz

En Windows 11 puedes llegar al Visor de eventos de varias formas, aunque lo más rápido suele ser usar el cuadro Ejecutar: pulsa Win + R, escribe eventvwr.msc y confirma con Enter. Tras unos segundos se abrirá la consola con el árbol de categorías a la izquierda.

Si prefieres moverte por menús gráficos, también puedes abrirlo desde las herramientas administrativas. Por ejemplo, puedes abrir el menú de inicio, buscar “Herramientas de Windows” y, dentro de esa ventana, localizar el acceso a “Panel de control” y, a partir de ahí, entrar en “Sistema y seguridad” para llegar al Visor de eventos. Es algo más largo, pero puede venir bien si estás guiando a alguien menos experimentado.

Una vez dentro, fíjate en la entrada “Visor de eventos (local)” en el panel izquierdo. Desde ahí podrás seleccionar tanto los “Registros de Windows” clásicos como los “Registros de aplicaciones y servicios”, además de la sección “Vistas personalizadas”, donde más adelante guardaremos filtros para no tener que configurarlos cada vez.

Cuando haces clic en cualquiera de los registros (por ejemplo, “Sistema”), el panel central se llena de eventos: cada fila tiene su fecha y hora, el nivel (información, advertencia, error, crítico), el origen, el Id. de evento y una breve descripción. Si haces doble clic sobre un evento, se abre una ventana con más detalles y dos pestañas interesantes: “General”, con el texto explicativo legible, y “Detalles”, con los datos estructurados.

Los cuatro tipos de arranque que registra Windows 11

Antes de interpretar los eventos de inicio y apagado, conviene entender que Windows 11 no siempre arranca igual. El sistema maneja varios modos de arranque y apagado, y eso influye tanto en el rendimiento como en los problemas que puedas arrastrar entre sesiones.

El modo de “Inicio rápido” se activa cuando usas la opción “Apagar” con la configuración predeterminada. No es un apagado completo: Windows guarda el estado del kernel en disco y lo vuelve a cargar en el siguiente encendido. Es más veloz, pero puede dejar colgados algunos cambios de drivers o evitar que se apliquen ciertas actualizaciones correctamente.

El “Reinicio” realiza un ciclo completo de apagado y arranque desde cero. Aquí sí se descargan todos los drivers y procesos, y se inicializa el sistema como si fuera un arranque limpio. Si tu equipo hace cosas raras (tirones, pérdidas de rendimiento, pequeños fallos gráficos), muchas veces un reinicio real soluciona lo que un “apagado” con inicio rápido no arregla.

La “Hibernación” guarda en disco no solo el estado del kernel sino también el de las aplicaciones abiertas. Al encender, Windows restaura todo tal y como estaba. Es útil en portátiles para no perder sesiones largas, pero si hay un fallo subyacente, también puede perpetuarse durante varios ciclos.

El “Apagado completo” solo se produce si desactivas el inicio rápido o usas comandos específicos como shutdown /s /f /t 0. En este caso sí se apaga absolutamente todo y el siguiente arranque será fresco. Saber qué tipo de arranque ha ocurrido es clave para interpretar algunos eventos, sobre todo los relacionados con el Id. 27 del registro Sistema y para revisar los archivos de registro de arranque.

Cómo filtrar en el Visor de eventos lo que realmente importa al arrancar y apagarse

Cuando notes que el PC tarda mucho en arrancar, se apaga raro o se reinicia sin más, lo primero es ir al registro Sistema. En el árbol de la izquierda despliega “Registros de Windows” y haz clic en “Sistema”. Después, en el panel derecho, pulsa en “Filtrar registro actual…” para quedarte solo con los eventos clave.

En la ventana de filtro, en el cuadro “Id. de evento”, introduce estos números separados por comas: 12, 13, 27, 41. Son los que más información dan sobre ciclos de encendido y apagado en Windows 11:

• Id 12: indica que el sistema operativo se ha iniciado. Incluye la hora exacta y la versión de Windows que ha arrancado.
• Id 13: marca que el sistema se ha apagado correctamente. Si antes de un Id 12 no aparece un Id 13, es señal de que el apagado anterior fue anómalo.
• Id 27: especifica el tipo de inicio. En los detalles verás un valor numérico: 0 es arranque completo, 1 es inicio rápido, 2 es reanudación desde hibernación y 3 es reinicio.
• Id 41: Windows detecta que se ha reiniciado sin pasar por un apagado correcto. Suele corresponder a cuelgues, BSOD (pantallazos azules) o cortes de corriente.

Para analizar un problema, revisa la secuencia de eventos 13 → 12 → 27 → 41. Por ejemplo, si ves un Id 41 seguido de un Id 12, significa que el sistema ha arrancado detectando que el apagado anterior no fue limpio. Si en esa misma zona del tiempo no encuentras un Id 13 justo antes, ya sabes que algo abrupto interrumpió el ciclo anterior.

Si haces doble clic en cualquier evento de la lista, en la pestaña “General” tendrás la descripción en texto claro. Esto te permite, sin entrar todavía en detalles técnicos, ver si el arranque fue normal o si Windows ya te está avisando de un fallo más grave (por ejemplo, un error crítico del kernel o del gestor de energía).

Ver el historial de arranques y apagados con PowerShell

Si prefieres trabajar con una lista más limpia, ordenable y que puedas guardar en un archivo, PowerShell es tu aliado. Desde su consola puedes consultar los mismos eventos que ves en el Visor de eventos, pero filtrados y listados en tabla.

Abre PowerShell con permisos normales (no hace falta administrador) y ejecuta este comando para obtener los Id 12, 13, 27 y 41 del registro Sistema:

Get-WinEvent -LogName System | Where-Object {$_.Id -in 12,13,27,41} | Select-Object TimeCreated, Id, Message | Format-Table -AutoSize

Si quieres guardar ese historial en un archivo de texto para revisarlo con calma o compartirlo, añade al final: | Out-File C:\arranques.txt. Obtendrás una cronología clara donde puedes ver a qué hora se encendió y apagó el equipo y si hubo errores críticos entre medias.

Diagnosticar arranques lentos con los eventos de rendimiento

Cuando el problema no es tanto que el equipo se cuelgue sino que tarde una eternidad en iniciar sesión, hay otro registro muy útil: el de diagnósticos de rendimiento. Microsoft lo usa para medir cuánto tarda el sistema en arrancar y qué servicios o aplicaciones están ralentizando el proceso.

En el árbol del Visor de eventos ve a “Registros de aplicaciones y servicios” → “Microsoft” → “Windows” → “Diagnostics-Performance” → “Operativo”. Una vez ahí, vuelve a usar la opción “Filtrar registro actual…” y en Id. de evento escribe 100.

El evento con Id 100 recoge el tiempo total de arranque en milisegundos, además de desglosar qué aplicaciones y servicios han tardado más en inicializarse. Si ves valores por encima de 60000 ms (60 segundos), ya puedes considerar que el arranque es anormalmente lento y conviene revisar qué componente está provocando el atasco.

En el detalle del evento 100 verás entradas individuales para procesos concretos. Si una aplicación de terceros aparece sistemáticamente con tiempos muy altos, puedes deshabilitarla del inicio o actualizarla. Lo mismo con servicios de seguridad, controladores de hardware poco optimizados o herramientas de sincronización en la nube que se disparan en el arranque.

Usar filtros avanzados y vistas personalizadas en el Visor de eventos

Cuando investigas un problema concreto (por ejemplo, intentos de inicio de sesión fallidos o errores de un servicio específico), los filtros básicos se quedan cortos. Aquí entran en juego las “Vistas personalizadas”, que permiten guardar criterios muy precisos para reutilizarlos cuando quieras.

Para buscar, por ejemplo, intentos de autenticación fallida en el registro de Seguridad, conviene saber que el Id de estos eventos es el 4625. En el panel izquierdo asegúrate de seleccionar “Visor de eventos (local)” y en el panel derecho elige “Crear vista personalizada…”.

En la ventana que aparece puedes definir varios parámetros clave:

• Intervalo de tiempo: selecciona un rango predefinido o usa “Intervalo personalizado” para fijar fecha y hora de inicio y fin.
• Nivel del evento: puedes limitarte a críticos, errores, advertencias, etc., o dejarlo en blanco para incluir todos los niveles.
• Por registro o Por origen: si eliges “Por registro”, podrás marcar registros concretos dentro de “Registros de Windows” o “Registros de aplicaciones y servicios”. Si eliges “Por origen”, seleccionas directamente el componente que genera el evento (por ejemplo, el spooler de impresión); el registro adecuado se ajusta solo.

En el cuadro de “Id. de evento” puedes jugar con varias combinaciones muy útiles:

• Un solo identificador: por ejemplo, 4625 para inicios de sesión fallidos.
• Varios Id: separados por comas, como 4624, 4625.
• Rangos: usando un guion, por ejemplo 4650-4655.
• Mezcla de rangos e Id sueltos: 4698, 4700-4702, 4650-4655.
• Exclusiones dentro de un rango: puedes quitar un Id concreto anteponiendo un signo menos, por ejemplo 4698-4702, -4699.

Además del Id, la vista personalizada permite filtrar por categoría de tarea, palabras clave, usuarios o equipos concretos. Esto es muy útil en entornos con varios usuarios o en redes corporativas, donde necesitas aislar los eventos que afectan a una máquina o cuenta en particular.

Al aceptar el filtro, el sistema te pedirá que guardes la vista personalizada. Tendrás que indicar un nombre (por ejemplo, “Errores de inicio”) y, opcionalmente, una descripción. Puedes decidir si se guarda en la carpeta general de “Vistas personalizadas” o en una subcarpeta, e incluso crear una nueva. También podrás elegir si la vista estará disponible para todos los usuarios o solo para tu cuenta.

Una vez guardada, la vista se quedará en el panel izquierdo del Visor de eventos. Cada vez que hagas clic sobre ella, se cargará la lista de eventos que cumplan esos criterios. Ten en cuenta que la vista siempre está actualizada: si desde la última vez se han generado nuevos eventos que encajan en el filtro, aparecerán automáticamente en la lista.

Interpretar los eventos de Microsoft Defender para punto de conexión (MDE)

Además de los eventos generales de Windows, muchas organizaciones dependen de Microsoft Defender para punto de conexión (Microsoft Defender for Endpoint, MDE) para proteger sus equipos. Este servicio genera una enorme cantidad de eventos que registran su estado, los procesos de incorporación y retirada, la conectividad con la nube y los errores internos.

Los eventos de MDE suelen indicar si el servicio se ha iniciado, detenido, conectado o no con los servidores de procesamiento. Por ejemplo, verás mensajes de que “se ha iniciado el servicio de Microsoft Defender para punto de conexión” durante el arranque del sistema o la incorporación, así como eventos de apagado del servicio cuando el dispositivo se apaga o se retira. Estos eventos de funcionamiento normal suelen indicar que “no se requiere ninguna acción”.

Cuando hay errores, los eventos incluyen códigos detallados para orientar la solución de problemas. Por ejemplo, “Error al iniciar el servicio de Microsoft Defender para punto de conexión” con un código de error variable indica que el servicio no se ha iniciado y suele recomendar revisar otros mensajes relacionados. Otros eventos señalan problemas al conectarse con los servidores de procesamiento externos (indicando la URL concreta) y te sugieren verificar la conectividad, el proxy y la configuración de Internet.

La incorporación (onboarding) y la retirada (offboarding) generan muchos eventos específicos: desde “el servicio no está incorporado y no se encontraron parámetros de incorporación” hasta errores al leer esos parámetros, conservar la información de incorporación o cambiar el tipo de inicio del servicio. En casi todos los casos, la acción recomendada es comprobar que la configuración de incorporación y los scripts se han implementado bien y, si hace falta, volver a desplegar los paquetes de configuración.

También encontrarás eventos que indican que la incorporación se ha completado correctamente y que el dispositivo ya informa al portal. Incluso se avisa de que el dispositivo puede tardar varias horas en aparecer en la consola de administración. Otros eventos reflejan el cálculo del Id de dispositivo de Defender para punto de conexión y la aplicación de la configuración predeterminada (que puede fallar de forma transitoria).

Telemetría, ETW y servicios auxiliares implicados en Defender

Una parte importante de los logs de MDE tiene que ver con los servicios de telemetría y las sesiones ETW (Event Tracing for Windows). Defender necesita registrar y enviar eventos de seguridad y comportamiento a la nube, y para ello se apoya en varios componentes del sistema.

Verás, por ejemplo, eventos sobre el “servicio de Experiencias del usuario y telemetría asociadas” (diagtrack). Si este servicio no se puede iniciar, la telemetría no se envía desde esa máquina y los eventos te recomendarán revisar el registro Microsoft-Windows-UniversalTelemetryClient/Operational. También hay eventos que indican errores al registrar o anular el registro de este servicio, con códigos de error concretos y la sugerencia de asegurarte de que el servicio de datos de diagnóstico está habilitado.

Respecto a ETW, aparecen eventos de error al crear o iniciar sesiones de seguimiento de eventos, tanto para registradores automáticos de MDE como para registradores “seguros”. Algunos errores indican falta de recursos (por exceso de sesiones ETW activas) y suelen resolverse solos: el servicio reintenta iniciar la sesión cada minuto y, cuando lo consigue, se genera un evento de recuperación. Otros problemas más graves recomiendan reiniciar el dispositivo y contactar con soporte si persisten.

Hay también eventos sobre problemas al agregar proveedores a una sesión ETW concreta. En esos casos, los eventos del proveedor afectado no se notifican al servicio hasta que se resuelve el error. Si ves estos mensajes repetidos, conviene revisar el código de error y, si no es algo temporal, escalar el problema.

Por último, algunos eventos mencionan el controlador minifiltro de eventos de seguridad (MsSecFlt.sys). Si el sistema no puede cargarlo, se recomienda reiniciar el dispositivo y, si el problema continúa, ponerse en contacto con el soporte técnico, porque sin ese componente la recolección de ciertos eventos de seguridad puede quedar incompleta.

Conectividad con la nube, cuotas y problemas de red en Defender

Microsoft Defender para punto de conexión depende de la comunicación constante con servidores en la nube para enviar telemetría, recibir comandos de respuesta, aplicar configuraciones de nube y manejar escenarios como la clasificación DLP.

En los logs encontrarás eventos que indican que el servicio se ha conectado con éxito a una URL concreta de los servidores de procesamiento. Estos eventos suelen marcar que la dirección coincide con lo que verías en el firewall o en la actividad de red y no requieren acción. Cuando la conexión falla, se registran eventos que especifican la URL y recomiendan verificar la conectividad, el proxy y la configuración de Internet.

La gestión de cuotas de comunicación también queda reflejada. Algunos eventos informan de que se han actualizado las cuotas de disco y de carga diaria en MB, mientras que otros avisan de que un módulo de Defender está a punto de superar su cuota diaria y podría ser limitado temporalmente. Incluso hay eventos que indican que se ha detenido el envío de “datos cibernéticos” al superarse la cuota y que se reanudará automáticamente cuando el periodo de cuota termine.

El estado de la red y de la batería influye en la frecuencia con la que Defender se comunica con la nube. Hay eventos que señalan que la conexión de red se ha identificado como “baja” (por ejemplo, en una red de pago o medida) y que, por ello, el contacto con el servidor se hará con menos frecuencia. Lo mismo ocurre cuando la batería está baja: Windows reduce la frecuencia de comunicación para ahorrar energía. Otros eventos indican que la conexión o la batería han vuelto a un estado “normal” y se retoma el ritmo habitual.

En cuanto a DLP (Prevención de pérdida de datos), hay eventos específicos que avisan de problemas de conectividad a la nube para ese escenario. Cuando se pierde la conexión necesaria, se registra un error que sugiere revisar la conectividad de red; cuando se restaura, otro evento lo notifica y confirma que el flujo de clasificación DLP puede continuar con normalidad.

Configuración en la nube y comandos de respuesta de Defender

Defender para punto de conexión no solo envía datos a la nube, también recibe instrucciones y configuraciones. Los logs reflejan muy bien qué pasa con esas configuraciones “push” y con los comandos que se ejecutan en el dispositivo.

Verás eventos que indican que se ha recibido una configuración de nube no válida, generalmente con versión, estado, código de error y mensaje. En esos casos, el archivo se omite y, si el problema persiste, se recomienda contactar con soporte. Cuando la nueva configuración se aplica correctamente, se genera un evento confirmando la versión aplicada y señalando que no hace falta ninguna acción.

Si la nueva configuración de nube falla pero se puede aplicar la última configuración válida conocida, también se registra: se indica la versión incorrecta y la versión válida que se ha recuperado. En el peor escenario, cuando ni la nueva ni la última configuración válida pueden aplicarse, el servicio recurre a la configuración predeterminada y programa un nuevo intento de descarga de configuración en unos minutos. Si después de eso no aparece el evento que indica aplicación correcta (normalmente el número 50 en esa secuencia), se aconseja contactar con soporte.

Respecto a los comandos de respuesta remota, hay eventos que marcan el inicio de la ejecución de un comando y otros que confirman que se ha ejecutado correctamente. Si ocurre un error al ejecutar ese comando, el evento incluye el identificador del comando y el código de error, y suele sugerir que, si el fallo es persistente, se lo traslades al soporte técnico.

También hay validaciones sobre los parámetros de ciertos comandos, como los de recopilación de datos. Si los argumentos (por ejemplo, una URI SAS o el nivel de compresión) no son válidos, se registra un evento indicando que no se han podido leer ni analizar los argumentos del comando de recopilación. Nuevamente, si ves este mensaje con frecuencia, lo razonable es revisar la política que genera esos comandos y, si procede, abrir un caso de soporte.

Autenticación, claves y CSP en Microsoft Defender para punto de conexión

Otra parte densa de los logs de Defender tiene que ver con la autenticación del servicio y la gestión de claves criptográficas. Defender necesita registrarse ante un servicio de autenticación, generar claves, firmar mensajes y mantener estados persistentes para poder enviar y recibir datos de forma segura.

Hay eventos que indican que el servicio no ha podido generar o abrir una clave criptográfica, o que no ha podido conservar el estado de autenticación. Si un dispositivo deja de informar al portal de seguridad y ves estos eventos, es una pista muy clara de que el problema está en esa capa de autenticación, y a menudo la recomendación es contactar con el soporte técnico si no se resuelve tras un reinicio o una reincorporación.

Otros eventos confirman que el registro en el servicio de autenticación se ha completado correctamente, que la clave criptográfica se ha generado sin problemas o que se ha reanudado la carga de telemetría cibernética tras actualizar un token caducado. Estos eventos informativos, en general, no requieren intervención.

La parte de CSP (Configuration Service Provider) también deja su rastro en el Visor de eventos. Encontrarás eventos con identificadores en el rango 1800-1840 que describen operaciones de “Get” y “Set” de diversos valores: estado de incorporación, hash del blob de onboarding y offboarding, frecuencia de informes de telemetría, uso compartido de ejemplos, identificadores de grupo, parámetros de etiquetado de dispositivos, etc.

Muchos de estos eventos simplemente indican que una operación de lectura o escritura se ha completado con éxito, por ejemplo: obtener el Id de organización durante la incorporación, comprobar si el servicio está en ejecución o escribir el blob de incorporación en el Registro. Otros señalan errores en operaciones de “Get” o “Set”, especialmente cuando los valores solicitados están fuera de los rangos permitidos (como sucede con el uso compartido de muestras, la frecuencia de informes o los parámetros de etiquetado de dispositivos). En esos casos, si el error se repite, suele ser necesario revisar la política MDM o la configuración que empuja esos valores.

Qué hacer cuando Windows 11 se cuelga y se reinicia solo

Un caso muy común es el del equipo que se cuelga de vez en cuando, se reinicia y entra en un bucle de reparación automática que casi nunca arregla nada. Esto puede ocurrir jugando (por ejemplo, a Fortnite) o simplemente estando en el escritorio sin hacer gran cosa.

Si quieres usar el Visor de eventos para investigar estos cuelgues en Windows 11, lo primero es localizar los Id 41 en el registro Sistema, como hemos visto antes. Esos eventos te dirán que el sistema se ha reiniciado sin apagarse correctamente. A partir de ahí, conviene revisar los eventos inmediatamente anteriores en el tiempo, tanto en el registro Sistema como en Aplicación, para detectar drivers que fallan, errores de disco, problemas de energía o servicios críticos que se detienen.

En muchos casos el origen del problema está en el hardware o los drivers: picos de temperatura, fuentes de alimentación inestables, módulos de RAM defectuosos o controladores de la GPU que se cuelgan. Sin embargo, los eventos te pueden dar pistas claras: si ves muchos errores de un mismo controlador justo antes del Id 41, ya tienes un sospechoso principal.

A partir de ahí, combinar la información del Visor de eventos con herramientas adicionales (como comprobaciones de disco, pruebas de memoria o actualización de drivers) suele ser el camino más efectivo. El valor del Visor de eventos no es que por sí solo “arregle” el problema, sino que te ayuda a acotar dónde mirar, qué servicio falla y en qué momento exacto se rompe todo.

Dominar el Visor de eventos en Windows 11, entender los distintos tipos de arranque, saber filtrar por Id clave y leer los registros avanzados de Microsoft Defender para punto de conexión te coloca en una posición mucho más sólida para diagnosticar casi cualquier comportamiento extraño del sistema. Aunque al principio pueda abrumar la cantidad de información, en cuanto te acostumbras a los patrones (Id 12, 13, 27, 41 para arranques; 100 para rendimiento; los distintos eventos de incorporación y telemetría de Defender), se convierte en una herramienta imprescindible que te ahorra tiempo, reinstalaciones innecesarias y muchos quebraderos de cabeza.