ID d'événement Windows 1 – Inconnu : Journalisation d'événements système générique

Commencez par analyser les détails spécifiques de l'événement pour comprendre ce qui a déclenché l'événement de source inconnue.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Système ou Application selon l'endroit où vous avez trouvé l'événement
3. Localisez les entrées d'ID d'événement 1 avec la source indiquée comme "Inconnue"
4. Double-cliquez sur l'événement pour ouvrir la boîte de dialogue Propriétés de l'événement
5. Examinez l'onglet Général pour la description de l'événement, qui contient souvent le nom réel de l'application ou du processus
6. Vérifiez l'onglet Détails et développez Système pour voir des métadonnées supplémentaires, y compris l'ID de processus et l'ID de thread
7. Notez l'horodatage et corrélez-le avec d'autres événements système se produisant au même moment
8. Cherchez des motifs dans la description de l'événement qui pourraient indiquer l'application ou le service d'origine

PowerShell offre de puissantes capacités de filtrage pour analyser l'ID d'événement 1 provenant de sources inconnues à travers plusieurs journaux.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interroger l'ID d'événement 1 de la source inconnue à travers tous les journaux :

Get-WinEvent -FilterHashtable @{Id=1} | Where-Object {$_.ProviderName -eq 'Unknown' -or $_.ProviderName -eq $null} | Select-Object TimeCreated, Id, LevelDisplayName, Message | Format-Table -Wrap

3. Pour une analyse plus détaillée, exportez les événements vers un fichier CSV pour examen :

Get-WinEvent -FilterHashtable @{Id=1; StartTime=(Get-Date).AddDays(-7)} | Where-Object {$_.ProviderName -eq 'Unknown'} | Select-Object TimeCreated, Id, ProviderName, LevelDisplayName, Message | Export-Csv -Path "C:\Temp\UnknownEvents.csv" -NoTypeInformation

4. Analyser la fréquence et les motifs des événements :

Get-WinEvent -FilterHashtable @{Id=1; StartTime=(Get-Date).AddDays(-30)} | Where-Object {$_.ProviderName -eq 'Unknown'} | Group-Object {$_.TimeCreated.Date} | Sort-Object Name

5. Rechercher des mots-clés spécifiques dans les messages d'événements :

Get-WinEvent -FilterHashtable @{Id=1} | Where-Object {$_.Message -like '*application*' -and $_.ProviderName -eq 'Unknown'} | Select-Object TimeCreated, Message

Vérifiez le registre Windows pour identifier les enregistrements de sources d'événements manquants ou corrompus qui pourraient causer des événements de source inconnue.

1. Ouvrez l'Éditeur du Registre en appuyant sur Win + R, en tapant regedit, et en appuyant sur Entrée
2. Accédez à HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\EventLog
3. Développez les clés Application et Système pour voir les sources d'événements enregistrées
4. Cherchez les applications récemment installées qui pourraient manquer d'un enregistrement correct de la source d'événements
5. Utilisez PowerShell pour énumérer les sources d'événements enregistrées :

Get-ChildItem "HKLM:\SYSTEM\CurrentControlSet\Services\EventLog\Application" | Select-Object Name

6. Comparez les applications installées avec les sources d'événements enregistrées :

Get-WmiObject -Class Win32_Product | Select-Object Name, Version | Sort-Object Name

7. Vérifiez les entrées de registre orphelines ou corrompues en examinant les clés de source d'événements pour les valeurs requises
8. Si vous identifiez une application spécifique causant des événements de source inconnue, vérifiez si la réinstallation de l'application résout le problème

Utilisez Process Monitor et les outils de surveillance du système pour identifier quels processus génèrent des événements de source inconnue.

1. Téléchargez et exécutez Process Monitor (ProcMon) de Microsoft Sysinternals
2. Configurez les filtres de ProcMon pour surveiller l'accès au registre aux clés de journal des événements :
3. Définissez le filtre Path sur *EventLog*
4. Définissez Process and Thread Activity pour afficher la création de processus
5. Effacez les événements existants et commencez la surveillance
6. Attendez que les événements de source inconnue avec l'ID d'événement 1 se produisent, ou déclenchez-les en démarrant des applications suspectes
7. Dans ProcMon, recherchez les processus accédant à HKLM\SYSTEM\CurrentControlSet\Services\EventLog
8. Faites une référence croisée du moment de l'accès au registre avec les horodatages de l'ID d'événement 1
9. Utilisez Windows Performance Toolkit (WPT) pour une analyse avancée :

# Activez la traçabilité ETW pour le service de journal des événements
wevtutil sl Microsoft-Windows-Eventlog/Analytic /e:true
wevtutil sl Microsoft-Windows-Eventlog/Debug /e:true

9. Surveillez les journaux analytiques pour une activité de journalisation des événements détaillée :

Get-WinEvent -LogName "Microsoft-Windows-Eventlog/Analytic" -MaxEvents 50 | Where-Object {$_.TimeCreated -gt (Get-Date).AddMinutes(-10)}

10. Désactivez les journaux analytiques après l'enquête pour éviter la croissance des journaux :

wevtutil sl Microsoft-Windows-Eventlog/Analytic /e:false
wevtutil sl Microsoft-Windows-Eventlog/Debug /e:false

Si les événements de source inconnue avec l'ID d'événement 1 persistent et indiquent des problèmes de service du journal des événements, reconstruisez la configuration du service.

1. Créez une sauvegarde de la configuration actuelle du registre du journal des événements :

reg export "HKLM\SYSTEM\CurrentControlSet\Services\EventLog" "C:\Temp\EventLog_Backup.reg"

2. Arrêtez le service du journal des événements Windows :

Stop-Service -Name "EventLog" -Force

3. Effacez tous les fichiers de journal d'événements corrompus (sauvegardez d'abord) :

# Sauvegarder les journaux existants
Copy-Item "C:\Windows\System32\winevt\Logs\*.evtx" "C:\Temp\EventLogs_Backup\" -Recurse

# Effacer les journaux système et d'application
wevtutil cl System
wevtutil cl Application

4. Redémarrez le service du journal des événements :

Start-Service -Name "EventLog"

5. Réenregistrez les sources d'événements courantes à l'aide de PowerShell :

# Réenregistrer les sources d'événements du .NET Framework
$frameworkPath = [System.Runtime.InteropServices.RuntimeEnvironment]::GetRuntimeDirectory()
& "$frameworkPath\InstallUtil.exe" /LogToConsole=false /LogFile= "$frameworkPath\System.dll"

6. Exécutez le vérificateur de fichiers système pour réparer les fichiers système corrompus :

sfc /scannow

7. Utilisez DISM pour réparer l'image Windows si SFC trouve des problèmes :

DISM /Online /Cleanup-Image /RestoreHealth

8. Surveillez le système pendant 24 à 48 heures pour vérifier que les entrées d'ID d'événement 1 de source inconnue sont résolues
9. Si les problèmes persistent, envisagez d'exécuter Windows Update pour vous assurer que tous les composants système sont à jour