Comandos PowerShell para Windows Server: Guía Práctica para Sysadmin

Listar servicios y filtrar por estado:

Get-Service | Where-Object { $_.Status -eq 'Stopped' -and $_.StartType -eq 'Automatic' }

Este pipeline muestra los servicios configurados como automáticos pero que están detenidos — una de las primeras señales de problema en un servidor recién iniciado. La propiedad StartType solo aparece directamente en Get-Service desde PowerShell 5.1+.

Iniciar, detener y reiniciar un servicio:

Start-Service -Name 'W3SVC'
Stop-Service -Name 'W3SVC' -Force
Restart-Service -Name 'W3SVC'

Usa -Force en Stop-Service cuando el servicio tiene dependientes — sin él, PowerShell pide confirmación para detener la cadena completa.

Auditar binario y cuenta de inicio de sesión de un servicio (útil en revisión de seguridad):

Get-CimInstance Win32_Service -Filter "Name='Spooler'" |
  Select-Object Name, PathName, StartName, State, ProcessId

PathName revela si el servicio apunta a un binario sospechoso (C:\Users\* o un directorio temporal son red flags). StartName muestra la cuenta que lo ejecuta — cuentas con privilegios excesivos en servicios de terceros son vectores comunes de escalación.

Top 10 procesos por uso de memoria:

Get-Process |
  Sort-Object -Property WorkingSet64 -Descending |
  Select-Object -First 10 Name, Id,
    @{n='RAM_MB';e={[math]::Round($_.WorkingSet64/1MB,1)}},
    @{n='CPU_s';e={[math]::Round($_.CPU,1)}}

WorkingSet64 es la memoria física residente — el número que importa cuando el servidor está bajo presión de RAM. La propiedad CPU acumula segundos de procesador desde el inicio del proceso, así que un número alto puede ser un proceso legítimo de larga duración, no necesariamente un problema.

Matar un proceso colgado por nombre o PID:

Stop-Process -Name 'notepad' -Force
Stop-Process -Id 4242 -Force

Últimos 20 errores del log System en las últimas 24h:

$ayer = (Get-Date).AddDays(-1)
Get-WinEvent -FilterHashtable @{
  LogName   = 'System'
  Level     = 2
  StartTime = $ayer
} -MaxEvents 20 | Format-Table TimeCreated, Id, ProviderName, Message -Wrap

Level 2 es Error. Usa 3 para Warning y 4 para Information. El hashtable se procesa server-side, por lo que funciona bien incluso en logs con millones de eventos.

Buscar intentos de inicio de sesión fallidos (Event ID 4625 del log Security):

Get-WinEvent -FilterHashtable @{
  LogName = 'Security'
  Id      = 4625
  StartTime = (Get-Date).AddHours(-6)
} | Select-Object TimeCreated, @{n='User';e={$_.Properties[5].Value}},
                  @{n='IP';e={$_.Properties[19].Value}}

El Event ID 4625 es el evento canónico de inicio de sesión fallido. En un servidor expuesto a internet (RDP, SSH, OWA), esta consulta revela bruteforce en curso. Si el volumen es alto, configura bloqueo por cuenta con Account Lockout Policy o un sistema de IP banning.

Inventario rápido de IPs y gateways:

Get-NetIPConfiguration |
  Where-Object { $_.NetAdapter.Status -eq 'Up' } |
  Format-Table InterfaceAlias, IPv4Address, IPv4DefaultGateway, DNSServer

Muestra solo las interfaces activas. Para inspeccionar una específica:

Get-NetAdapter -Name 'Ethernet0' | Format-List Name, MacAddress, LinkSpeed, Status

Configurar IP estática y DNS:

New-NetIPAddress -InterfaceAlias 'Ethernet0' `
  -IPAddress '10.0.0.50' -PrefixLength 24 -DefaultGateway '10.0.0.1'

Set-DnsClientServerAddress -InterfaceAlias 'Ethernet0' `
  -ServerAddresses '1.1.1.1','8.8.8.8'

Listar conexiones TCP activas con PID y proceso:

Get-NetTCPConnection -State Listen |
  Select-Object LocalAddress, LocalPort,
    @{n='Process';e={(Get-Process -Id $_.OwningProcess).Name}} |
  Sort-Object LocalPort

Reemplaza netstat -ano con la ventaja de traer ya el nombre del proceso. Útil para auditar qué puertos están abiertos y quién está escuchando.

Crear un usuario, definir contraseña y habilitarlo:

$clave = Read-Host -AsSecureString 'Contraseña inicial'
New-ADUser -Name 'Juan Pérez' -SamAccountName 'jperez' `
  -UserPrincipalName '[email protected]' `
  -AccountPassword $clave -Enabled $true `
  -ChangePasswordAtLogon $true -Path 'OU=Usuarios,DC=empresa,DC=local'

Read-Host -AsSecureString evita que la contraseña se filtre en el historial de PowerShell. ChangePasswordAtLogon $true fuerza el cambio en el primer acceso, práctica recomendada para cualquier cuenta aprovisionada.

Encontrar cuentas inactivas por más de 90 días (candidatas a desactivación):

Search-ADAccount -AccountInactive -TimeSpan 90.00:00:00 -UsersOnly |
  Select-Object Name, SamAccountName, LastLogonDate, Enabled |
  Sort-Object LastLogonDate

Este comando es oro para la higiene de AD. Las cuentas inactivas son un vector de compromiso porque nadie se da cuenta si son reactivadas maliciosamente.

Programar un script de mantenimiento para ejecutarse todos los días a las 3h:

$action = New-ScheduledTaskAction -Execute 'powershell.exe' `
  -Argument '-NoProfile -ExecutionPolicy Bypass -File C:\scripts\mantenimiento.ps1'

$trigger = New-ScheduledTaskTrigger -Daily -At 3am

$principal = New-ScheduledTaskPrincipal -UserId 'SYSTEM' `
  -LogonType ServiceAccount -RunLevel Highest

$settings = New-ScheduledTaskSettingsSet -StartWhenAvailable `
  -DontStopOnIdleEnd -ExecutionTimeLimit (New-TimeSpan -Hours 2)

Register-ScheduledTask -TaskName 'Mantenimiento_Diario' `
  -Action $action -Trigger $trigger -Principal $principal -Settings $settings

-NoProfile evita cargar perfiles de usuario (que pueden tardar segundos). -StartWhenAvailable garantiza que la tarea se ejecute cuando el servidor vuelve de un downtime, incluso si se perdió el horario programado.