Auditoría on Locodigital

Get-LocalUser: auditar cuentas locales en Windows con PowerShell

Wed, 26 Aug 2026 08:00:00 -0300

¿Sabes exactamente cuántas cuentas de usuario existen en tu Windows en este momento? Mucha gente no lo sabe — y esa es justamente la brecha que un atacante con acceso inicial va a explotar: crear una cuenta oculta con nombre genérico, habilitarla con contraseña y mantener persistencia silenciosa. Get-LocalUser es el cmdlet que expone todo esto en una sola línea.

Qué es Get-LocalUser

El Get-LocalUser forma parte del módulo Microsoft.PowerShell.LocalAccounts, disponible de forma nativa desde PowerShell 5.1 (Windows 10 / Server 2016 en adelante). Devuelve todos los usuarios locales de la máquina — cuentas creadas manualmente, cuentas integradas del sistema (Administrator, Guest, DefaultAccount, WDAGUtilityAccount) y cuentas vinculadas a una cuenta Microsoft.

PowerShell para auditar logs de seguridad en Windows

Tue, 19 May 2026 09:00:00 -0300

Imagina que alguien pasó las últimas 48 horas intentando adivinar la contraseña de un usuario en tu servidor Windows. Sin monitoreo, nunca lo sabrías, hasta el día en que lo consiguiera. Windows registra todo esto en el Security Event Log. El problema es que el Event Viewer es lento, está lleno de clics y es imposible de automatizar. PowerShell resuelve eso en una línea.

Get-WinEvent: el cmdlet correcto para eventos de seguridad

Existe Get-EventLog (legado) y Get-WinEvent (moderno). Usa siempre Get-WinEvent: es significativamente más rápido en logs grandes, admite filtrado por hash directo en la consulta (sin traer todo a memoria primero) y ya no se sigue desarrollando en PowerShell 7+. Get-EventLog ni siquiera existe en PowerShell Core corriendo en Linux.