Autoarchivado y retención de bitácoras.

Una de las cosas que más me gusta de Windows Server 2008 es el visor de sucesos, vaya que mejora ha sido!
Vamos a explorar el siguiente escenario, necesito almacenar todas las bitácoras de seguridad por 45 días, desde luego el proceso de recolección y eliminación debe de ser automatizados para que el esfuerzo de nuestra parte sea mínimo.
Entonces manos a la obra, vamos a ajustar un poco la configuración de los eventos de seguridad “WEvtUtil SL Security /RT:true /AB:true /MS:52428800 /LFN:D:\eventViewer-depo\Security.evtx”
Con esto estoy activando la retención por medio del archivado automático y estableciendo un límite de 50MBs por archivo de bitácoras (formato EVTX). Dichos archivos serán almacenados en la ruta y archivo que indique (D:\eventViewer-Depo\Security.evtx) [La ruta por defecto es %windir%\System32\wbem\Logs]
Listo, ahora si revisamos nuestra ruta de almacenaje deberíamos de encontrar unos archivos llamados Archive-Security*.EVTX y otros más. Para manejar esto de forma automática podríamos salvar las siguientes líneas en un archivo tipo BAT e invocarla con una tarea programada diaria.

@echo off
REM ### ~ daemonRoot@sysadmin-cr.com ###
REM ### Inicia búsqueda de archivos mayores a los 45 días ###
forfiles /P D:\eventViewer-Depo /S /M * /D -45 /C "cmd /c echo @path" > D:\eventViewer-Depo\toDelete.log
REM ### Se remueven los archivos encontrados con el criterio anterior ###
for /f %%a in (D:\eventViewer-Depo\toDelete.log) do del /Q %%a
REM ### Se procede a enviar un reporte por correo electrónico sobre el purgado, el cual nos indica los archivos eliminados y la ejecución exitosa de la tarea ###
sendEmail.exe -f monitoring@sysadmin-cr.com -t server-support@sysadmin-cr.com -u REPORTE: Purgado de archivos de evento -m El archivo adjunto contiene la lista de bitácoras eliminadas como parte del proceso de retención y limpieza –a D:\eventViewer-Depo\toDelete.log -s smtp.sysadmin-cr.com
REM ### Se borra el archivo con la lista de ítems eliminados ###
del /q D:\eventViewer-Depo toDelete.log
REM ### Tarea completa ###

Que diferente era hacer esto con Windows Server 2003… que lindo como evoluciona la tecnología!
Gracias por su tiempo.

Respaldos del System State en C:

No es recomendado pero la necesidad muchas veces manda… por defecto Windows Server 2008 no permite almacenar respaldo del System State en su unidad C: pero hay ocasiones donde no tenemos elección.
Primero necesitamos instalar las herramientas de respaldo, de alguna de las siguientes maneras:
-Por medio del Server Manager, seleccionando Windows Server Backup Features y sus subcomponentes o en la sección de Features.
-Con el comando “servermanagercmd -install Backup-Features Backup-Tools” *
-Por medio de PoS “Add-WindowsFeature Backup-Features,Backup-Tools”
-O el comando “ocsetup WindowsServerBackup” en Server Core.
Ok, ahora el truco para lograr correr los respaldos esta en el Registry, debemos navegar a la ruta: “HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wbengine” donde crearemos una sub-llave llamada “SystemStateBackup” en la cual crearemos un registro tipo DWORD llamado “AllowSSBToAnyVolume” con un valor decimal de 1.
Ahora bien, ya tenemos la forma de crear los respaldos, cuando lo hagan notaran que el tamaño es un poco grande, por lo cual necesitamos hacer algo para purgarlos, afortunadamente el mismo utilitario de creación nos permite hacer esto.
Entonces el script sería algo como esto:
del C:\WindowsImageBackup\%computername%\ssbu.old
ren C:\WindowsImageBackup\%computername%\ssbu.log ssbu.old
(WBAdmin START SYSTEMSTATEBACKUP -BackupTarget:C: -quiet >C:\WindowsImageBackup\%computername%\ssbu.log) && (WBAdmin DELETE SYSTEMSTATEBACKUP -keepVersions:2 -quiet >>C:\WindowsImageBackup\%computername%\ssbu.log )
Primero renombramos la bitácora (me gusta tener información sobre la vez anterior que la tarea se ejecutó la tarea), luego hacemos el respaldo... si este es exitoso entonces purgamos los respaldos antiguos manteniendo 2 versiones o las que usted guste... todo esto se graba en nuestra bitácora. La cual la próxima vez será renombrada para tomar el lugar de su sucesora...
espero el ciclo sea comprensible.
Ahora bien, hagamos este proceso más fácil, creemos una tarea programada que se encargue de el! "SCHTASKS /Create /TN SSBU /SC Weekly /D Fri /TR C:\Scripts\ssbu-job.bat /ST 23:00"
Acá asumo que los comando anteriores fueron guardados en un archivo .bat (para efectos del ejemplo llamado ssbu-job.bat, esto en "C:\Scripts") el cual ha sido programo para ejecutarse todos los Viernes a las 2300 horas, listo!


Como ya sabemos existen mil y una formas de ejecutar una tarea, esta es tan solo una humilde contribución de este colaborador, espero les sea útil!
*ServerManagerCMD esta practicamente en desuso en Server 2008 R2.
**WBAdmin también incluye el parámetro “-schedule” para programar respaldos, yo soy fan del batch, por lo cual hago esto así :P