ID d'événement Windows 0 – Inconnu : Événement système avec source indéfinie

Commencez par examiner les entrées spécifiques de l'ID d'événement 0 pour recueillir des indices contextuels sur leur origine.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Système ou Application selon l'endroit où les événements apparaissent
3. Filtrez pour l'ID d'événement 0 en cliquant avec le bouton droit sur le journal et en sélectionnant Filtrer le journal actuel
4. Entrez 0 dans le champ ID d'événements et cliquez sur OK
5. Examinez chaque entrée de l'ID d'événement 0, en notant l'horodatage, le nom de l'ordinateur, et tout texte de description disponible
6. Utilisez PowerShell pour extraire des informations détaillées :

   Get-WinEvent -FilterHashtable @{LogName='System'; Id=0} -MaxEvents 50 | Select-Object TimeCreated, Id, LevelDisplayName, Message | Format-Table -Wrap

7. Recoupez les horodatages avec d'autres événements système pour identifier des corrélations potentielles
8. Vérifiez si les événements se regroupent autour de moments spécifiques comme le démarrage du système, les installations d'applications, ou les tâches planifiées

Examinez et réparez les entrées de registre des sources d'événements qui peuvent être corrompues ou incomplètes.

1. Ouvrez l'Éditeur de Registre en tant qu'administrateur en appuyant sur Win + R, en tapant regedit, et en appuyant sur Entrée
2. Accédez à HKLM\SYSTEM\CurrentControlSet\Services\EventLog
3. Développez les clés Application et Système pour voir les sources d'événements enregistrées
4. Cherchez les entrées avec des valeurs manquantes ou corrompues, en particulier les noms de source vides ou les chemins invalides
5. Utilisez PowerShell pour auditer les enregistrements de sources d'événements :

   Get-ChildItem "HKLM:\SYSTEM\CurrentControlSet\Services\EventLog\Application" | ForEach-Object { 
       $sourceName = $_.PSChildName
       $eventMessageFile = Get-ItemProperty -Path $_.PSPath -Name "EventMessageFile" -ErrorAction SilentlyContinue
       if (-not $eventMessageFile) {
           Write-Output "Missing EventMessageFile for source: $sourceName"
       }
   }

6. Supprimez les entrées de sources d'événements orphelines ou corrompues en supprimant leurs clés de registre
7. Redémarrez le service du journal des événements Windows pour actualiser les enregistrements de sources :

   Restart-Service -Name "EventLog" -Force

8. Surveillez les nouvelles occurrences de l'ID d'événement 0 après le nettoyage du registre

Effectuer une reconstruction complète de l'infrastructure du journal des événements Windows pour résoudre les problèmes persistants.

1. Arrêter le service du journal des événements Windows et les dépendances associées:

   Stop-Service -Name "EventLog" -Force
   Stop-Service -Name "Wecsvc" -Force -ErrorAction SilentlyContinue

2. Effacer les fichiers de journal des événements existants (sauvegarder d'abord si nécessaire):

   wevtutil el | ForEach-Object { wevtutil cl $_ }

3. Réinitialiser les autorisations du registre du journal des événements à l'aide de l'outil intégré:

   secedit /configure /cfg %windir%\inf\defltbase.inf /db defltbase.sdb /verbose

4. Réenregistrer les DLL et composants du journal des événements:

   regsvr32 /s %systemroot%\system32\wevtapi.dll
   regsvr32 /s %systemroot%\system32\wevtsvc.dll
   regsvr32 /s %systemroot%\system32\wecsvc.dll

5. Redémarrer le service du journal des événements:

   Start-Service -Name "EventLog"

6. Vérifier l'état du service et tester la journalisation des événements:

   Get-Service -Name "EventLog"
   Write-EventLog -LogName "Application" -Source "Application" -EventId 1000 -EntryType Information -Message "Test event after rebuild"

7. Surveiller les journaux système et application pendant 24-48 heures pour confirmer la résolution

Utilisez des techniques de surveillance avancées pour identifier les applications causant des entrées Event ID 0 et mettre en œuvre des correctifs.

1. Activez Process Monitor (ProcMon) pour suivre l'accès au registre et aux fichiers lors de la génération d'événements
2. Téléchargez ProcMon depuis Microsoft Sysinternals et exécutez-le en tant qu'administrateur
3. Définissez des filtres pour surveiller l'accès au registre aux clés de journal d'événements:

   # Filtre pour l'accès au registre EventLog
   # Processus et chemin contiennent : EventLog

4. Utilisez Windows Performance Toolkit pour tracer les opérations de journal d'événements:

   wpr -start GeneralProfile -filemode
   # Attendez que l'Event ID 0 se produise
   wpr -stop C:\temp\eventlog_trace.etl

5. Analysez les applications installées pour une utilisation incorrecte de la source d'événements:

   Get-WmiObject -Class Win32_Product | Where-Object { $_.InstallDate -gt (Get-Date).AddDays(-30) } | Select-Object Name, InstallDate

6. Vérifiez les applications utilisant des API de journalisation d'événements obsolètes en examinant leurs répertoires d'installation pour d'anciens DLL
7. Désinstallez et réinstallez les applications problématiques en utilisant des outils de suppression appropriés
8. Pour les applications tierces, contactez les fournisseurs pour des versions mises à jour compatibles avec les versions actuelles de Windows
9. Mettez en œuvre des shims de compatibilité d'application si nécessaire en utilisant l'Application Compatibility Toolkit

Mettre en œuvre des procédures complètes de réparation du système et établir une surveillance continue pour la prévention de l'ID d'événement 0.

1. Exécuter le vérificateur de fichiers système pour réparer les fichiers système corrompus :

   sfc /scannow

2. Exécuter DISM pour réparer la corruption de l'image Windows :

   DISM /Online /Cleanup-Image /RestoreHealth

3. Effectuer une analyse et une réparation complètes du registre :

   chkdsk C: /f /r

4. Créer un script de surveillance PowerShell pour la détection continue de l'ID d'événement 0 :

   # Enregistrer sous Monitor-EventID0.ps1
   $lastCheck = (Get-Date).AddHours(-1)
   $events = Get-WinEvent -FilterHashtable @{LogName='System','Application'; Id=0; StartTime=$lastCheck} -ErrorAction SilentlyContinue
   if ($events) {
       $events | ForEach-Object {
           Write-Output "Event ID 0 detected at $($_.TimeCreated) in $($_.LogName)"
           # Ajouter la logique d'alerte ici
       }
   }

5. Planifier le script de surveillance à l'aide du Planificateur de tâches :

   $action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-File C:\Scripts\Monitor-EventID0.ps1"
   $trigger = New-ScheduledTaskTrigger -RepetitionInterval (New-TimeSpan -Hours 1) -RepetitionDuration (New-TimeSpan -Days 365) -At (Get-Date)
   Register-ScheduledTask -TaskName "Monitor Event ID 0" -Action $action -Trigger $trigger -RunLevel Highest

6. Mettre en œuvre la journalisation centralisée si dans un environnement de domaine en utilisant le transfert d'événements Windows
7. Configurer des politiques de rétention de journaux d'événements personnalisées pour maintenir les données historiques pour l'analyse des tendances
8. Documenter toutes les étapes de remédiation et créer une entrée de base de connaissances pour référence future