ID d'événement Windows 1040 – Microsoft-Windows-WinRM : Service WinRM démarré avec succès

Vérifiez l'état actuel du service WinRM et la configuration de base pour confirmer le démarrage réussi.

1. Ouvrez PowerShell en tant qu'administrateur et vérifiez l'état du service :

   Get-Service WinRM
   Get-WinRMConfiguration

2. Vérifiez les écouteurs et la configuration de WinRM :

   winrm enumerate winrm/config/listener
   winrm get winrm/config

3. Naviguez vers Observateur d'événements → Journaux des applications et des services → Microsoft → Windows → WinRM → Opérationnel
4. Filtrez pour l'ID d'événement 1040 pour confirmer les démarrages réussis du service :

   Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-WinRM/Operational'; Id=1040} -MaxEvents 5

5. Vérifiez le type de démarrage du service dans la console Services : services.msc → localisez Gestion à distance de Windows (WS-Management)

Validez que WinRM accepte les connexions et que l'authentification fonctionne correctement.

1. Testez la connectivité locale de WinRM :

   Test-WSMan localhost
   Test-WSMan -ComputerName $env:COMPUTERNAME -Authentication Default

2. Vérifiez les méthodes d'authentification de WinRM :

   winrm get winrm/config/service/auth

3. Testez la télécommande PowerShell localement :

   Enter-PSSession -ComputerName localhost
   Exit-PSSession

4. Vérifiez les règles du pare-feu pour WinRM :

   Get-NetFirewallRule -DisplayGroup "Windows Remote Management" | Select-Object DisplayName, Enabled, Direction

5. Vérifiez les liaisons de port WinRM :

   netstat -an | findstr :5985
   netstat -an | findstr :5986

Examinez la configuration détaillée de WinRM et les paramètres de sécurité pour assurer un fonctionnement optimal.

1. Exportez la configuration complète de WinRM :

   winrm get winrm/config | Out-File C:\temp\winrm-config.txt
   Get-WSManInstance -ResourceURI winrm/config -Enumerate

2. Vérifiez les paramètres du registre pour WinRM :

   Get-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\WSMAN\Service" -ErrorAction SilentlyContinue

3. Vérifiez la configuration des certificats pour les écouteurs HTTPS :

   Get-ChildItem Cert:\LocalMachine\My | Where-Object {$_.Subject -like "*$env:COMPUTERNAME*"}
   winrm enumerate winrm/config/listener

4. Examinez les paramètres de stratégie de groupe affectant WinRM :

   gpresult /h C:\temp\gpresult.html
   # Check Computer Configuration\Policies\Administrative Templates\Windows Components\Windows Remote Management

5. Examinez les dépendances du service WinRM :

   Get-Service WinRM | Select-Object -ExpandProperty ServicesDependedOn
   Get-Service WinRM | Select-Object -ExpandProperty DependentServices

Implémentez la surveillance pour suivre les performances de WinRM et identifier les problèmes potentiels.

1. Activez la journalisation analytique de WinRM pour un dépannage détaillé :

   wevtutil sl Microsoft-Windows-WinRM/Analytic /e:true
   wevtutil sl Microsoft-Windows-WinRM/Debug /e:true

2. Surveillez les compteurs de performance de WinRM :

   Get-Counter "\WS-Management Listener(*)*" -MaxSamples 5
   Get-Counter "\WinRM Service\Active Shells" -Continuous

3. Suivez les tentatives de connexion et les événements d'authentification :

   Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-WinRM/Operational'; Id=91,142,143} -MaxEvents 20

4. Configurez la surveillance des journaux d'événements personnalisés :

   Register-WmiEvent -Query "SELECT * FROM __InstanceCreationEvent WITHIN 5 WHERE TargetInstance ISA 'Win32_NTLogEvent' AND TargetInstance.LogFile='Microsoft-Windows-WinRM/Operational' AND TargetInstance.EventCode=1040" -Action {Write-Host "WinRM Started: $(Get-Date)"}

5. Créez un script de surveillance pour la santé de WinRM :

   # Enregistrer sous Monitor-WinRM.ps1
   while ($true) {
       $service = Get-Service WinRM
       $listeners = winrm enumerate winrm/config/listener 2>$null
       Write-Host "$(Get-Date): WinRM Status: $($service.Status), Listeners: $($listeners.Count)"
       Start-Sleep 300
   }

Effectuer des diagnostics avancés et mettre en œuvre les meilleures pratiques de sécurité pour WinRM.

1. Activer la journalisation et le traçage complets de WinRM :

   winrm set winrm/config/service @{EnableCompatibilityHttpListener="false"}
   winrm set winrm/config/service @{CertificateThumbprint=""}
   logman create trace WinRM-Trace -p Microsoft-Windows-WinRM -o C:\temp\winrm-trace.etl

2. Mettre en œuvre l'authentification basée sur les certificats :

   # Créer un écouteur HTTPS avec certificat
   $cert = Get-ChildItem Cert:\LocalMachine\My | Where-Object {$_.Subject -like "*$env:COMPUTERNAME*"} | Select-Object -First 1
   winrm create winrm/config/Listener?Address=*+Transport=HTTPS @{Hostname="$env:COMPUTERNAME"; CertificateThumbprint="$($cert.Thumbprint)"}

3. Configurer les paramètres de sécurité avancés :

   winrm set winrm/config/service/auth @{Basic="false"; Digest="false"; Kerberos="true"; Negotiate="true"; Certificate="true"}
   winrm set winrm/config/service @{AllowUnencrypted="false"}

4. Mettre en œuvre des restrictions d'adresse IP :

   # Configurer les hôtes de confiance (à utiliser avec précaution)
   Set-Item WSMan:\localhost\Client\TrustedHosts -Value "192.168.1.*" -Force
   # Ou utiliser la stratégie de groupe pour les environnements d'entreprise

5. Configurer la journalisation des audits pour l'accès WinRM :

   auditpol /set /subcategory:"Other Logon/Logoff Events" /success:enable /failure:enable
   # Vérifier le registre pour les paramètres d'audit
   Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa\Audit" -ErrorAction SilentlyContinue