Glosario
__EventFilter
La clase WMI que describe el disparador de una suscripción de eventos: una consulta WQL con nombre, su lenguaje y el espacio de nombres que vigila.
Una instancia de __EventFilter es el cuándo de una suscripción WMI. Sus propiedades son Name, Query (una consulta de eventos WQL), QueryLanguage (WQL), EventNamespace (normalmente root\cimv2), EventAccess y CreatorSID.
Los filtros usados para persistencia suelen vigilar el tiempo de actividad del sistema (Win32_PerfFormattedData_PerfOS_System.SystemUpTime), los inicios de sesión, los inicios de procesos o temporizadores. Un filtro no hace nada hasta que un enlace lo vincula a un consumidor de eventos.