Sysinternals: utilidades de Microsoft para el diagnóstico de Windows Server

Sysinternals — un conjunto de utilidades gratuitas de Microsoft para el diagnóstico de Windows. El sitio de Sysinternals fue creado en 1996 por Mark Russinovich junto con Bryce Cogswell; en 2006 la compañía fue adquirida por Microsoft, y desde entonces las utilidades se publican en learn.microsoft.com. Muestran lo que no es visible con las herramientas estándar: qué proceso mantiene un archivo, qué está leyendo exactamente un programa del registro, qué se inicia al arrancar el sistema y qué procesos abren conexiones de red.

El paquete se actualiza regularmente: por ejemplo, en 2026 salieron Process Monitor 4.1, Autoruns 14.3 y una nueva versión de Sysmon. Abajo — las utilidades que más le sirven a un administrador de Windows Server y técnicas de trabajo con ellas.

Cómo obtener las utilidades

• Archivo Sysinternals Suite desde el sitio oficial: https://download.sysinternals.com/files/SysinternalsSuite.zip. Descomprímalo en un directorio separado, por ejemplo C:\Tools\Sysinternals, y agregue el directorio a la variable PATH.
• Sysinternals Live — ejecución sin descarga. En el Explorador o en la línea de comandos indique una ruta del tipo \\live.sysinternals.com\tools\<nombre_utilidad>:

\\live.sysinternals.com\tools\procexp64.exe

Una ruta del tipo \\live.sysinternals.com\tools se abre como recurso de red, por lo que en redes corporativas donde ese tráfico saliente esté bloqueado, Sysinternals Live puede no estar disponible. En servidores sin acceso a Internet es mejor colocar las utilidades con antelación, junto con el resto de las herramientas del administrador.

Al primer arranque cada utilidad muestra el acuerdo de licencia. En scripts se confirma con la opción -accepteula.

Utilidades principales

Tareas típicas

Archivo ocupado por otro proceso. Cuando no es posible eliminar o reemplazar un archivo, Handle mostrará quién lo mantiene:

handle.exe -accepteula C:\inetpub\logs\LogFiles\W3SVC1\u_ex260922.log

En Process Explorer lo mismo se hace mediante Find → Find Handle or DLL.

Programa no se inicia o se comporta de forma extraña. Process Monitor registra cada operación con archivos y el registro. Configure de inmediato un filtro por nombre de proceso (Filter → Process Name is …): sin filtro en un minuto se recogen cientos de miles de eventos y la utilidad carga notablemente el sistema. Los resultados con códigos ACCESS DENIED y NAME NOT FOUND suelen indicar la causa: no hay permisos sobre el directorio o no se encontró la clave del registro.

El servidor tarda en arrancar o en el autoinicio hay algo extraño. Autoruns muestra todos los puntos de autoinicio en una sola pantalla. Active Options → Hide Microsoft Entries para que queden solo componentes de terceros, y revise las entradas sin firma o con editor desconocido. Desactive elementos desmarcando la casilla, en lugar de borrarlos: así el cambio es fácil de revertir.

Alta carga de CPU o fuga de memoria. Process Explorer muestra para cada proceso el historial de uso de CPU, el conjunto de trabajo y el número de descriptores. Un número de descriptores o de bytes privados que crece constantemente en un servicio que lleva mucho tiempo en ejecución es un síntoma típico de fuga. Para recopilar un volcado (dump) de un proceso colgado se usa ProcDump.

Quién establece las conexiones de red. TCPView muestra las conexiones con los nombres de los procesos y permite cerrar la conexión o terminar el proceso directamente desde la ventana.

Ejecución remota de comandos: PsExec

PsExec ejecuta procesos en equipos remotos sin instalar previamente un cliente. La sintaxis permite indicar varios equipos separados por comas o una lista desde un archivo:

psexec \\server01,server02 -accepteula cmd /c "net stop wuauserv && net start wuauserv"
psexec @servers.txt -accepteula ipconfig /all

Qué hay que tener en cuenta:

• Permisos. Para trabajar en la máquina remota se necesita una cuenta con derechos de administrador en ella. PsExec entrega al equipo remoto un componente de servicio y lo ejecuta como servicio, por lo que requiere acceso al recurso compartido administrativo ADMIN$ vía SMB — en la máquina de destino deben estar abiertos los puertos SMB y activado el servicio “Server”.
• Contexto. Sin la opción -u el proceso se ejecuta con su cuenta, pero sin acceso a recursos de red. Si el comando necesita recursos de red, indique el usuario en el formato Dominio\Usuario. La opción -s ejecuta el proceso en nombre de System.
• Seguridad. La contraseña y el comando se transmiten cifrados. Aun así, los antivirus suelen reaccionar ante PsTools: las utilidades en sí no contienen código malicioso, pero las usan también actores malintencionados. Por eso la ejecución de PsExec en la red debería coordinarse con el equipo de seguridad, y su aparición en los registros debe ser esperada.

Para la gestión periódica del parque de servidores PsExec es cómodo como herramienta puntual. Para automatización continua son más adecuadas PowerShell Remoting o sistemas de gestión de configuración.

Sysmon: registro para la investigación de incidentes

Sysmon se instala como servicio y controlador y persiste después del reinicio. Registra en el registro de eventos la creación de procesos con la línea de comandos completa y el hash del ejecutable, la carga de controladores, conexiones de red, consultas DNS, cambios en el registro y mucho más. Sysmon en sí no analiza los eventos: se recopilan en un SIEM o en un almacenamiento centralizado de registros.

Instalación con fichero de configuración y actualización de la configuración:

sysmon64 -accepteula -i C:\Tools\sysmon-config.xml
sysmon64 -c C:\Tools\sysmon-config.xml

Los eventos se escriben en el registro Applications and Services Logs/Microsoft/Windows/Sysmon/Operational. Sin filtros Sysmon genera muchísimos eventos, por eso la configuración se toma como base de plantillas probadas, por ejemplo SwiftOnSecurity/sysmon-config, y se adapta a los servidores propios. La versión actual es compatible con Windows Server 2019 y superiores; también existe una versión separada de Sysmon para Linux.

Integración con PowerShell

Es cómodo invocar las utilidades de consola desde scripts. Por ejemplo, comprobar si un archivo está bloqueado antes de actualizar una aplicación:

$result = & C:\Tools\Sysinternals\handle.exe -accepteula -nobanner "C:\App\app.dll"
if ($result -match 'pid:') {
    Write-Warning "Файл занят: $result"
}

La opción -nobanner elimina la línea con el copyright de la salida, y así es más fácil de procesar.

Errores típicos

• Process Monitor sin filtro en un servidor cargado: rellena rápidamente la memoria y ralentiza el sistema. Establezca el filtro antes de empezar a grabar.
• Sysmon sin configuración o con configuración de “registrar todo”: el registro se satura y los eventos útiles se pierden.
• Borrar entradas en Autoruns en lugar de desactivarlas: revertir ese cambio es más difícil.
• PsExec con contraseña en texto claro en scripts: la contraseña queda en el historial de comandos y en archivos. Use una cuenta con los permisos necesarios sin pasar la contraseña en la línea de comandos.
• Copias antiguas de las utilidades en servidores: Microsoft publica correcciones regularmente, por lo que conviene actualizar el paquete junto con el resto de herramientas.

Conclusión

Sysinternals cubre gran parte de las tareas de diagnóstico de Windows Server sin instalar agentes adicionales: encontrar el proceso que mantiene un archivo, entender por qué no se inicia un programa, comprobar el autoinicio y recopilar registros para una investigación. Para la supervisión continua de servidores se complementan con monitorización y recopilación centralizada de registros.

Recursos

• Página oficial de Sysinternals
• PsExec
• Sysmon
• Plantilla de configuración de Sysmon