Qué procesos se ejecutan antes de que veas el escritorio y cómo controlarlos

¿Qué procesos se ejecutan antes de que veas el escritorio? Cuando enciendes un PC con Windows, pasan muchas más cosas de las que ves en pantalla. Antes de llegar al escritorio, el sistema arranca servicios, carga procesos en segundo plano, aplica directivas de grupo, ejecuta scripts y prepara el entorno para todos los usuarios. Entender ese “backstage” es clave si quieres que tus equipos vayan finos, si administras un dominio con Active Directory o si simplemente te mosquea ver destellos raros o el ventilador disparado sin motivo aparente.

Además de los procesos internos de Windows, están todos los que lanzan las aplicaciones y los propios usuarios. Y por si fuera poco, muchos se ponen en marcha en cuanto inicias sesión, incluso antes de que aparezca el escritorio. En este artículo vamos a desgranar qué ocurre en ese momento, cómo ver qué se está ejecutando, cómo diferenciar procesos de servicios, cómo monitorizar la actividad de un equipo y qué puedes cerrar sin miedo para ganar algo de rendimiento.

Qué ocurre antes de que aparezca el escritorio

Entre pulsar el botón de encendido y ver el escritorio hay varias fases bien diferenciadas. A nivel muy general, el sistema pasa por: arranque del hardware y firmware, carga del cargador de arranque, carga del kernel de Windows, inicio de servicios, aplicación de directivas y, finalmente, carga del perfil de usuario y del shell (el escritorio).

En entornos de dominio con Active Directory cobra importancia el momento exacto en el que se aplican las GPO. Si quieres, por ejemplo, ejecutar un script (como un .bat que lance BGInfo) antes de que el usuario vea el escritorio, tienes que jugar con los scripts de inicio de equipo y los scripts de inicio de sesión, además de las opciones de espera de red.

En Windows, los scripts de inicio del equipo se ejecutan antes de que ningún usuario inicie sesión, mientras que los scripts de inicio de sesión se ejecutan después de autenticarse, pero antes de que se cargue completamente el escritorio. Si tu objetivo es que algo se ejecute literalmente “antes de que el usuario vea nada”, lo lógico es usar scripts de inicio de equipo o servicios configurados para arrancar de forma automática.

Muchos “flashes” o destellos blancos que ves en la pantalla al trabajar tienen que ver con procesos que se abren y cierran muy rápido, a veces relacionados con tareas en segundo plano, comprobaciones de software, sincronizaciones de nubes o incluso notificaciones que no llegan a mostrarse del todo. Para localizar al culpable tendrás que bucear en el Visor de eventos y en las herramientas de monitorización de procesos que veremos más adelante.

Proceso vs servicio en Windows: qué es cada cosa

En el lenguaje coloquial solemos llamar “proceso” a todo lo que está en marcha en el sistema, pero conviene distinguir bien entre procesos y servicios, sobre todo cuando hablamos de lo que arranca antes del escritorio.

Un proceso es, en esencia, un programa en ejecución. Puede estar en primer plano (como Word o el navegador) o en segundo plano sin que veas ventana alguna. Tiene su propio identificador (PID), puede crear otros procesos hijos y tiene un ciclo de vida claro: empieza, corre y termina. A un proceso lo “matas” (lo finalizas) cuando deja de responder o cuando ya no lo necesitas.

Un servicio es un tipo especial de software pensado para ejecutarse en segundo plano de forma prolongada. Suele iniciarse con el sistema (antes del inicio de sesión del usuario), puede permanecer activo durante horas o días, y se puede iniciar, detener, pausar o reiniciar, pero no se habla de “matar” un servicio como tal. Igual que un proceso puede lanzar servicios, un servicio también puede arrancar procesos auxiliares.

Esta diferencia conceptual afecta directamente a lo que ocurre antes de ver el escritorio: la mayoría de los elementos críticos (red, inicio de sesión, políticas de seguridad, servicios de dominio, etc.) dependen de servicios del sistema que se levantan antes de que puedas mover un solo icono del escritorio. Los programas que añades al inicio del usuario, sin embargo, se cargan justo después de que se muestra el shell o en paralelo.

Si estás intentando ejecutar algo como BGInfo en todos los equipos antes de que el usuario empiece a trabajar, una opción avanzada es empaquetarlo como servicio o usar una GPO de inicio de equipo que se ejecute con privilegios de sistema y que deje el trabajo hecho antes del logon.

Cómo ver procesos y servicios gráficamente en Windows

La forma más directa de ver qué se está ejecutando cuando sospechas de algo raro es tirar del Administrador de tareas. Puedes abrirlo de varias formas: clic derecho en la barra de tareas y “Administrador de tareas”, pulsando CTRL + SHIFT + ESC o ejecutando Taskmgr.exe desde la ventana Ejecutar.

En la pestaña Procesos verás aplicaciones, procesos en segundo plano y procesos de Windows. Ahí ya se distinguen de un vistazo las apps que has abierto tú, los elementos que corren detrás de las cortinas y la infraestructura propia del sistema. Cada entrada te muestra consumo de CPU, memoria, disco, GPU, red, impacto en la energía y otros detalles útiles para detectar cuellos de botella.

Los navegadores modernos, por ejemplo, arrancan múltiples procesos: uno principal y otros por pestaña, extensiones o GPU. En el administrador verás un árbol de procesos que comparten nombre de imagen, pero con PIDs distintos. Esto es clave cuando quieres localizar qué pestaña está devorando RAM o CPU.

Si cambias a la pestaña Servicios del Administrador de tareas podrás ver los servicios activos e inactivos, junto a su PID, descripción, estado (En ejecución o Detenido) y grupo al que pertenecen. Desde ahí puedes detener o iniciar servicios básicos, aunque para una gestión avanzada suele utilizarse services.msc, que abre la consola clásica de servicios de Windows.

En la consola de servicios (services.msc) dispones de información adicional como el tipo de inicio (Automático, Manual, Deshabilitado), la cuenta con la que se ejecuta el servicio y sus dependencias. Este punto es crítico si quieres que algo se ejecute antes del escritorio: los servicios en inicio automático se levantan durante el arranque del sistema, sin necesidad de que nadie haya iniciado sesión.

Control detallado de procesos desde la línea de comandos

Cuando quieres ir más allá del Administrador de tareas, la consola de Windows se convierte en tu mejor aliada. Con unos cuantos comandos puedes listar, filtrar, exportar, monitorizar y matar procesos, tanto en el equipo local como en máquinas remotas.

Listar procesos con tasklist

El comando base para ver procesos es tasklist. Si lo ejecutas sin parámetros en una ventana de CMD verás una lista con nombre de imagen, PID, nombre de sesión, número de sesión y uso de memoria de cada proceso en ejecución.

A partir de ahí puedes empezar a aplicar filtros para encontrar justo lo que buscas. Por ejemplo, si quieres localizar procesos cuyo PID contenga una cadena específica (por ejemplo, 264), puedes combinarlo con find:

Ejemplo 1: tasklist.exe /v | find /i "264"

También puedes filtrar por consumo de memoria, algo muy útil para cazar procesos que se han vuelto locos. Por ejemplo, listar solo procesos cuyo uso de memoria esté entre 15000 y 19000 KB:

Ejemplo 2: tasklist /fi "memusage gt 15000" /fi "memusage lt 19000"

Si quieres centrarte en una aplicación concreta, puedes tirar de su nombre de imagen. Por ejemplo, para ver todos los procesos de Firefox, con detalles extendidos:

Ejemplo 3: tasklist.exe /v /fi "IMAGENAME eq firefox.exe"

Windows permite incluso encadenar comandos para listar varias cosas en una ráfaga. Por ejemplo, pedir a la vez los procesos de notepad.exe y de firefox.exe:

Ejemplo 4: tasklist /FI "IMAGENAME eq notepad.exe" & tasklist /FI "IMAGENAME eq firefox.exe"

Si trabajas con grandes volúmenes de datos, interesa sacar la información en CSV para analizarla con Excel o con scripts. Por ejemplo, todos los procesos cuyo PID sea mayor que 1000, en formato CSV:

Ejemplo 5: tasklist /v /fi "PID gt 1000" /fo csv

Esa salida la puedes redirigir directamente a un archivo, por ejemplo:

Ejemplo 6: tasklist /v /fi "PID gt 1000" /fo csv > file.csv

También es posible filtrar procesos de sistema o de usuario. Por ejemplo, para enumerar solo los procesos en ejecución que no pertenecen a la cuenta de sistema:

Ejemplo 7: tasklist /fi "USERNAME ne NT AUTHORITY\SYSTEM" /fi "STATUS eq running"

Si necesitas la foto detallada de todos los procesos activos, puedes tirar de:

Ejemplo 8: tasklist /v /fi "STATUS eq running"

En entornos con servidores remotos, tasklist también funciona contra otras máquinas. Por ejemplo, para obtener la lista de procesos y servicios de un servidor llamado srvmain donde cargan módulos que empiecen por ntdll:

Ejemplo 9: tasklist /s srvmain /svc /fi "MODULES eq ntdll*"

Si el servidor remoto requiere credenciales específicas, las puedes pasar con /u y /p:

Ejemplo 10: tasklist /s srvmain /u maindom\hiropln /p p@ssW23

Otras herramientas de consola: WMIC, query y qprocess

Además de tasklist, Windows cuenta con otras utilidades muy prácticas para diseccionar procesos. Una de las más potentes es WMIC, la interfaz de línea de comandos de WMI.

Con WMIC puedes obtener datos muy detallados, incluida la línea de comandos completa con la que se lanzó cada proceso. Por ejemplo, para volcar a un fichero texto los nombres, comandos y PIDs de todos los procesos:

Ejemplo 11: WMIC /OUTPUT:C:\procs.txt PROCESS get Caption,Commandline,Processid

Otra pareja de comandos interesante son qprocess y query process. Básicamente hacen lo mismo: mostrar información sobre procesos por sesión, usuario, etc. Son especialmente útiles en servidores de Escritorio remoto o en entornos multiusuario.

Si quieres ver los procesos de todas las sesiones del sistema, basta con:

Ejemplo 12: query process *

Y si te interesa una sesión concreta, por ejemplo la ID 1:

Ejemplo 13: query process /ID:1

Finalizar procesos: taskkill y tskill

Cuando un proceso se queda colgado o consume recursos sin control, toca sacarlo por las malas. Para eso están taskkill y tskill, que permiten cerrar procesos por PID o por nombre.

La sintaxis de taskkill es bastante flexible, ya que te deja combinar filtros, matar varios procesos a la vez e incluso actuar sobre equipos remotos. Un ejemplo básico para cerrar un proceso por PID sería:

Ejemplo 14: taskkill /pid 1230

Si tienes varios procesos que quieres cerrar de golpe, puedes repetir el switch /pid:

Ejemplo 15: taskkill /pid 1230 /pid 1241 /pid 1253

También puedes usar filtros similares a los de tasklist para cargarte procesos a granel. Por ejemplo, terminar todos los procesos con PID mayor o igual a 1000 forzando el cierre:

Ejemplo 16: taskkill /f /fi "PID ge 1000" /im *

Otra jugada típica es acabar con procesos que no responden, excluyendo alguna ventana concreta. Por ejemplo, matar todo lo que figure como “NOT RESPONDING” menos lo que tenga título de ventana “WhatsApp”:

Ejemplo 17: taskkill /F /FI "STATUS eq NOT RESPONDING" /FI "WINDOWTITLE ne WhatsApp"

Como ocurría con tasklist, taskkill también permite operar sobre máquinas remotas, pasando nombre de servidor y credenciales. Por ejemplo, para cerrar todos los procesos cuyo nombre comience por “note” en un servidor remoto:

Ejemplo 18: taskkill /s srvmain /u hostname\username /p p@ssW23 /fi "IMAGENAME eq note*" /im *

tskill es una versión más simple, útil cuando solo necesitas matar un proceso tuyo (a no ser que seas administrador, en cuyo caso puedes con todo). Para terminar el proceso con ID 1230:

Ejemplo 19: tskill 1230

Y si quieres cerrar el Explorador de archivos de una sesión RDP concreta, por ejemplo la sesión 1:

Ejemplo 20: tskill explorer /id:1

Gestión avanzada de servicios con el comando sc

Si lo que necesitas controlar son servicios (muchos de ellos arrancan antes del escritorio), tu herramienta de cabecera será el comando sc. Sirve para consultar, crear, modificar, iniciar, detener y eliminar servicios tanto local como remotamente.

Entre las subórdenes más usadas de sc están query, start, stop, pause, delete, create y description. Con eso cubres prácticamente toda la vida de un servicio.

Por ejemplo, para crear un nuevo servicio llamado “NuevoServicio” que ejecute un EXE concreto en arranque automático:

Ejemplo 21: sc create NuevoServicio binpath= c:\windows\system32\NuevoServicio.exe start= auto

Si quieres hacerlo en un servidor remoto, solo tienes que anteponer el nombre del host:

Ejemplo 22: sc create \\miservidor NuevoServicio binpath= c:\windows\system32\NuevoServicio.exe start= auto

Para iniciarlo manualmente:

Ejemplo 23: sc start NuevoServicio

Con sc query puedes listar servicios activos o todos los existentes. Por ejemplo, servicios en ejecución:

Ejemplo 24: sc query
sc query type= service

Si quieres incluir también los que están detenidos:

Ejemplo 25: sc query state= all

Y para consultar un servicio concreto en detalle:

Ejemplo 26: sc query NuevoServicio

Si te interesan los servicios interactivos (que pueden mostrar interfaz al usuario):

Ejemplo 27: sc query type= service type= interact

La eliminación de un servicio es igual de directa, siempre que no esté en ejecución:

Ejemplo 28: sc delete NuevoServicio

Identificar procesos con permisos de administrador

En un sistema cargado de procesos, conviene saber cuáles se están ejecutando con privilegios elevados. Son precisamente esos los que pueden causar más estragos si algo se tuerce, o los que te interesa revisar cuando ves comportamientos raros o caídas de rendimiento serias.

En la vista Detalles del Administrador de tareas puedes añadir una columna llamada “Elevado” que te chiva de inmediato qué procesos van con permisos de administrador. Para activarla, haz clic derecho en cualquier encabezado de columna, elige “Seleccionar columnas” y marca la casilla “Elevado”. Al aplicar, verás una nueva columna con valores “Sí” o “No”.

Los procesos marcados como “Sí” tienen una capacidad de control mucho mayor sobre el sistema, ya que corren como administrador o como cuenta de sistema. Si algo se cuelga, se come todos los recursos o empieza a comportarse de manera sospechosa, ese es el primer sitio donde mirar; a veces verás errores relacionados con permisos de administrador que ayudan a identificar problemas de privilegios.

Eso sí, no puedes cambiar al vuelo el nivel de permisos de un proceso ya iniciado. Si necesitas que una aplicación se ejecute como administrador, tendrás que cerrarla y volverla a abrir con “Ejecutar como administrador” o cambiando cómo se lanza (acceso directo, tarea programada, GPO, etc.).

Impacto de los procesos en el rendimiento de Windows

Todos los procesos que se acumulan, tanto del sistema como de aplicaciones de terceros, se reparten CPU, RAM, disco, red y batería. Cuando alguno se dispara y consume el 100% de un recurso, el sistema entero puede volverse lento o directamente quedarse congelado.

El Administrador de tareas te permite ver al detalle quién está consumiendo qué: porcentaje de CPU, memoria ocupada, actividad en el disco, velocidad de red, impacto en batería, etc. Junto con la pestaña de Inicio, que muestra qué programas se lanzan al principio de sesión, tienes una buena foto de lo que se está cargando justo antes y justo después de ver el escritorio.

Los procesos del propio Windows que se ejecutan como administrador suelen ser críticos para la estabilidad, así que lo normal es no tocarlos salvo que tengas claro lo que haces. Si detectas uno de terceros consumiendo de forma abusiva, ahí sí es razonable finalizarlo o incluso desinstalar la aplicación si el problema se repite.

Muchas veces los cuelgues intermitentes o las ráfagas de consumo tienen que ver con tareas programadas, actualizadores, nubes, indexadores y compañía. De ahí la importancia de saber qué se está ejecutando antes del escritorio y qué se añade al inicio del usuario, para poder recortar lo que no necesitas.

Programas externos para controlar procesos de Windows

Aunque el Administrador de tareas ha mejorado mucho, existen utilidades de terceros que ofrecen una visión más cómoda o más potente. No te van a dar datos mágicos que no existan ya, pero sí otra forma de verlos y manejarlos.

Process Explorer

Process Explorer es una herramienta de Microsoft muy popular para ver procesos a fondo. Muestra todos los procesos activos, jerarquía completa, uso de CPU en tiempo real, ID, usuario, descripción, ruta, DLL cargadas, etc. Te permite finalizar, suspender, reiniciar procesos, ver árboles completos y cambiar prioridades con mucha comodidad.

Es especialmente útil para localizar qué procesos se disparan en el arranque o justo después del inicio de sesión, así como para entender por qué un proceso no se deja cerrar a la primera. Además, al ser de Microsoft, está pensada específicamente para destripar Windows en profundidad.

System Explorer

System Explorer es otra alternativa veterana al Administrador de tareas. Su interfaz se centra en mostrar de forma clara el consumo de recursos por procesos, programas y servicios, y te deja finalizar procesos, modificar prioridades e incluso hacer pequeñas auditorías de seguridad.

Si quieres controlar mejor qué se está ejecutando sin pelearte con las vistas de Taskmgr, es una opción interesante, sobre todo cuando buscas procesos que se cargan en segundo plano y no son evidentes a primera vista.

Nagios XI

Nagios XI se sale un poco del entorno doméstico y entra de lleno en el terreno profesional. Es una solución de monitorización muy completa para redes, servidores y estaciones de trabajo, basada en el proyecto de código abierto Nagios, pero con versión comercial y más amigable.

Permite monitorizar máquinas Windows, Linux y servidores, mostrando en un panel centralizado el estado de procesos, servicios y aplicaciones. Si algo se queda colgado o su consumo anuncia problemas, se notifica mediante alertas configurables. Aunque no haya un ejecutable nativo para Windows, se puede desplegar a través de máquinas virtuales y agentes para tener visibilidad sobre toda la infraestructura.

Sysinternals Process Explorer / Sysinternals Suite

Bajo el paraguas de Sysinternals, Microsoft agrupa un conjunto de herramientas de supervisión gratis para Windows. Además de Process Explorer, incluye utilidades para revisar arranques, acceso a disco, red, registros y un largo etcétera.

Su interfaz suele estar dividida en paneles: en la parte superior ves los procesos activos y en la inferior detalles del proceso seleccionado (módulos, manejadores abiertos, etc.), junto con gráficos de uso de CPU y memoria a lo largo del tiempo. Es un kit imprescindible si administras sistemas Windows profesionalmente.

Qué procesos puedes cerrar con relativa tranquilidad

En el día a día, más allá de investigar flashes o cuelgues, mucha gente solo quiere saber qué puede cerrar sin romper nada. Desde el Administrador de tareas puedes terminar bastantes procesos para liberar RAM y algo de CPU, con ciertas precauciones.

Lo primero y más evidente: las aplicaciones que tú mismo has abierto. Si una app se ha quedado en segundo plano tras cerrar la ventana, o si ya no la necesitas, puedes finalizar su proceso desde Taskmgr sin mayor problema. Se volverá a lanzar cuando la abras de nuevo.

Servicios asociados al gaming (como Gaming Services, barra de juegos, app de Xbox) son otro candidato habitual. Si no vas a jugar y solo estás trabajando, los puedes cerrar para aligerar un poco. Si el sistema los necesita más adelante, Windows los volverá a arrancar.

El widget de Noticias e intereses de la barra de tareas es otro proceso prescindible para muchos. No consume demasiado, pero si jamás miras esas noticias, puedes cerrarlo sin miedo; si en algún momento vuelves a activarlo, se iniciará de nuevo.

OneDrive y otras nubes residentes en memoria también se pueden detener si no vas a sincronizar nada. Al cerrar el proceso, los archivos ya descargados seguirán estando en tu disco, pero dejarás de sincronizar cambios hasta que vuelvas a abrir el cliente.

Pequeñas utilidades integradas como la Calculadora o el reproductor Groove Music a veces mantienen procesos activos “por si acaso”. Puedes cerrarlos y se volverán a lanzar la próxima vez que abras la app.

El proceso CTF Loader (ctfmon.exe) gestiona métodos de entrada alternativos como teclado táctil, dictado o escritura a mano. Si estás con teclado y ratón y no usas esos métodos, puedes cerrarlo temporalmente. Cuando el sistema lo necesite, lo recargará.

También puedes cerrar procesos que ves duplicados en aplicaciones que no estás usando. Navegadores con muchas pestañas abiertas, clientes de correo que no quieres mantener, etc. Si no estás utilizando activamente esa app, cerrar sus procesos es perfectamente razonable.

Phone Link (enlace con el móvil) es otra candidata para hibernar si no te interesa ver notificaciones del teléfono en el PC. Al terminar su proceso, la integración se pausa hasta que vuelvas a abrir la app.

Muchos programas incluyen procesos dedicados solo a buscar y aplicar actualizaciones en segundo plano. Salvo el actualizador de Defender y otros ligados a la seguridad, la mayoría se pueden detener sin consecuencias graves: simplemente comprobarán actualizaciones más tarde o cuando abras el programa. Si te interesa ese comportamiento, revisa guías sobre Windows Update descarga pero no instala.

Formas básicas de monitorizar la actividad de un PC

Además del ecosistema de procesos y servicios, muchas empresas y administradores necesitan saber cómo se usa realmente cada equipo: qué se abre, qué se navega, cuándo se enciende, cuándo se conecta un USB, etc. Esto se puede hacer con herramientas estándar de Windows o con software específico de monitorización.

Sin herramientas de terceros

Para ver qué archivos se han abierto recientemente en un equipo al que tienes acceso físico, puedes recurrir a la carpeta de elementos recientes. Pulsa la tecla Windows, escribe “Ejecutar”, dale a Enter, escribe Reciente y se abrirá una ventana con los archivos editados últimamente. Ordenando por “Fecha de modificación” tendrás una idea rápida de la actividad reciente.

Si lo que quieres revisar es el historial de navegación, abre el navegador correspondiente y pulsa CTRL + H. Aparecerá una lista de las páginas visitadas. Tendrás que repetir esto en cada navegador instalado. Ten en cuenta que todo lo que se haya hecho en modo privado no se reflejará aquí.

Para comprobar cuándo se ha encendido el ordenador o ciertos eventos de energía, recurre al . Abre el menú Inicio, escribe “Evento”, entra en el Visor de eventos, ve a “Registros de Windows” > “Sistema” y filtra por la fuente “Power-Troubleshooter”. Ahí verás información sobre encendidos, reactivaciones y demás.

En ediciones como Windows 10 Professional puedes habilitar la auditoría de inicios de sesión en el Editor de directivas de seguridad local o en GPO, para registrar quién inició sesión, cuándo y desde dónde. También se puede auditar el uso de dispositivos USB y accesos a archivos concretos vía directivas de auditoría.

Con software de monitorización especializado

Cuando gestionas equipos remotos o plantillas amplias, revisar manualmente cada PC deja de ser realista. En estos casos entran en juego soluciones de monitorización como Insightful u otras similares, que automatizan la recogida de datos y su análisis.

Aplicaciones de este tipo registran aplicaciones y webs utilizadas, generan hojas de tiempo detalladas y pueden hacer capturas de pantalla periódicas. Así no se pierde ninguna actividad relevante y puedes entender mejor en qué se invierte el tiempo de trabajo, qué recursos sobran o si hay usos de alto riesgo.

También incluyen módulos de detección de comportamientos peligrosos: acceso a recursos web dudosos, apertura de archivos sensibles por usuarios no autorizados, traslado masivo de datos a USB, etc. Toda esa información queda registrada para un posible análisis forense en caso de incidente de seguridad.

Otro punto importante es el seguimiento del tiempo activo, inactivo y de descanso. Estos programas suelen distinguir cuándo el usuario está interactuando con el equipo, cuándo está en pausa y cuándo simplemente se ha ido, ayudando a detectar posibles sobrecargas, desorganización o incluso burnout.

Antes de implantar soluciones de este tipo, conviene conocer y valorar la percepción de la plantilla. En equipos pequeños y siempre en oficina quizá baste con métodos tradicionales, pero en organizaciones grandes o con teletrabajo casi obligatorio, sin un sistema centralizado de monitorización la supervisión manual se vuelve inviable.

Con todo lo que ocurre “bajo el capó” de Windows antes de que veas el escritorio, desde servicios críticos, procesos en segundo plano, aplicaciones de inicio y directivas de grupo, entender y dominar estas herramientas te permite diagnosticar destellos raros, definir qué se ejecuta al arrancar, decidir qué procesos puedes cerrar con calma y, en general, tener el control real de la actividad del equipo tanto a nivel individual como en redes empresariales.