Glosario
Transcripción de PowerShell
Función que escribe un registro de texto completo de una sesión de PowerShell (entrada y salida) en un archivo PowerShell_transcript, con hora local.
La transcripción de PowerShell escribe en un archivo un registro de texto de toda una sesión de PowerShell, tanto los comandos tecleados como la salida que produjeron. Un usuario puede iniciarla manualmente con Start-Transcript, o un administrador puede forzarla para todas las sesiones con la directiva de grupo "Turn on PowerShell Transcription", que además puede definir un OutputDirectory central y añadir encabezados de invocación por comando.
Por qué importa en una investigación
Las transcripciones son el único artefacto habitual de PowerShell que registra la salida. Los registros de eventos y el historial de PSReadLine muestran lo que se ejecutó; una transcripción muestra también lo que se obtuvo: un listado de directorio, el contenido de un archivo que se leyó, un error que demuestra que un comando falló. Ese contexto a menudo permite determinar si una acción tuvo éxito.
Hay dos salvedades. En primer lugar, todas las horas de una transcripción corresponden al reloj local del host, con el formato yyyyMMddHHmmss y sin zona horaria, así que anote la zona horaria del equipo antes de correlacionarlas con registros de eventos en UTC. En segundo lugar, un archivo al que le falta el pie de cierre transcript end se interrumpió o se truncó, y un mismo archivo puede contener varios pares de inicio y fin.
Ejemplo
De forma predeterminada, cada sesión se guarda en la carpeta Documentos del usuario como PowerShell_transcript.<computer>.<random>.<timestamp>.txt. El encabezado tiene este aspecto:
**********************
Windows PowerShell transcript start
Start time: 20260914104500
Username: FIN-WKS-07\svc_backup
Machine: FIN-WKS-07 (Microsoft Windows NT 10.0.19045.0)
Host Application: C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
Process ID: 4242
PSVersion: 5.1.19041.4648
**********************
A continuación, cada línea de prompt va seguida del comando y su salida. Con -IncludeInvocationHeader, un Command start time: precede a cada comando y el parser lo asocia a ese comando; sin él, los comandos heredan la hora de inicio de la sesión y se muestran como aproximados.
Términos relacionados
- PSReadLine, el archivo de historial sin marcas de tiempo que conviene leer en paralelo
- Comando codificado, que el parser decodifica en las líneas de la transcripción
- Registro clásico de Windows PowerShell, cuyo
HostApplicationse corresponde con el encabezado de la transcripción
Lea las transcripciones como una cronología en el PowerShell Parser y consulte el análisis forense de transcripciones de PowerShell para conocer el formato completo.