ID d'événement Windows 11724 – Microsoft-Windows-Kernel-General : Changement de l'heure système détecté

Commencez par examiner les détails spécifiques de l'ID d'événement 11724 pour comprendre le contexte et l'ampleur du changement de temps.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Système
3. Filtrez le journal en cliquant sur Filtrer le journal actuel dans le volet Actions
4. Entrez 11724 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur les entrées récentes de l'ID d'événement 11724 pour voir les informations détaillées
6. Examinez les données de l'événement pour l'ancienne valeur de temps, la nouvelle valeur de temps et l'ID de processus
7. Notez l'ampleur de la différence de temps et la fréquence des occurrences

Utilisez PowerShell pour une analyse automatisée :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=11724} -MaxEvents 50 | Select-Object TimeCreated, Id, LevelDisplayName, Message | Format-Table -Wrap

Enquêter sur les paramètres du service de temps Windows pour déterminer si la synchronisation de l'heure provoque des ajustements fréquents.

1. Ouvrir l'invite de commande en tant qu'administrateur
2. Vérifier la configuration actuelle du service de temps :

w32tm /query /configuration

3. Examiner la source de temps et les paramètres de synchronisation :

w32tm /query /source
w32tm /query /status

4. Examiner les journaux d'événements du service de temps :

Get-WinEvent -LogName 'System' -FilterXPath "*[System[Provider[@Name='Microsoft-Windows-Time-Service']]]" -MaxEvents 20

5. Vérifier les paramètres du registre pour la configuration du service de temps :

Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Services\W32Time\Config' | Format-List

6. Si vous utilisez la synchronisation de l'heure de domaine, vérifier la connectivité du contrôleur de domaine et la précision de l'heure

Identifiez quels processus initient des changements d'heure et corrélez avec les événements de sécurité pour une analyse complète.

1. Extraire les informations de processus à partir des entrées d'Event ID 11724 :

$events = Get-WinEvent -FilterHashtable @{LogName='System'; Id=11724} -MaxEvents 100
$events | ForEach-Object {
    $xml = [xml]$_.ToXml()
    [PSCustomObject]@{
        TimeCreated = $_.TimeCreated
        ProcessId = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'ProcessId'} | Select-Object -ExpandProperty '#text'
        OldTime = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'OldTime'} | Select-Object -ExpandProperty '#text'
        NewTime = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'NewTime'} | Select-Object -ExpandProperty '#text'
    }
} | Format-Table -AutoSize

2. Recouper les IDs de processus avec les processus et services en cours d'exécution :

Get-Process | Where-Object {$_.Id -in @(1234, 5678)} | Select-Object Id, ProcessName, Path, StartTime

3. Vérifiez les événements de sécurité liés indiquant des changements d'heure manuels :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4616} -MaxEvents 20 | Select-Object TimeCreated, Id, Message

4. Examinez les journaux d'application et de service pour les erreurs liées au temps :

Get-WinEvent -FilterHashtable @{LogName='Application'; Level=2,3; StartTime=(Get-Date).AddDays(-1)} | Where-Object {$_.Message -match 'time|clock|sync'} | Select-Object TimeCreated, ProviderName, Id, LevelDisplayName, Message

Enquêter sur les problèmes matériels potentiels causant une dérive temporelle excessive et des impacts sur les performances du système.

1. Vérifiez la précision de l'horloge matérielle du système par rapport à des sources de temps fiables :

w32tm /stripchart /computer:time.windows.com /samples:5 /dataonly

2. Surveillez les compteurs de performance du système liés à la gestion du temps :

Get-Counter -Counter '\System\System Up Time', '\Processor(_Total)\% Processor Time', '\Memory\Available MBytes' -SampleInterval 5 -MaxSamples 12

3. Examinez les journaux d'événements du système pour les problèmes liés au matériel :

Get-WinEvent -FilterHashtable @{LogName='System'; Level=2,3; StartTime=(Get-Date).AddDays(-7)} | Where-Object {$_.Message -match 'hardware|clock|RTC|CMOS'} | Select-Object TimeCreated, ProviderName, Id, LevelDisplayName, Message

4. Vérifiez les services d'intégration de machine virtuelle si vous utilisez un hyperviseur :

Get-Service -Name 'vmictimesync*' | Select-Object Name, Status, StartType
Get-ItemProperty -Path 'HKLM:\SOFTWARE\Microsoft\Virtual Machine\Guest\Parameters' -ErrorAction SilentlyContinue

5. Examinez les paramètres BIOS/UEFI pour la configuration de l'heure et de la date, en particulier sur les systèmes physiques subissant une dérive temporelle fréquente

Configurez une surveillance complète et des réponses automatisées pour les événements de changement d'heure dans les environnements d'entreprise.

1. Créez un script PowerShell pour la surveillance continue des changements d'heure :

# TimeChangeMonitor.ps1
$logName = 'System'
$eventId = 11724
$threshold = 60 # secondes

Register-WmiEvent -Query "SELECT * FROM Win32_NTLogEvent WHERE LogFile='$logName' AND EventCode=$eventId" -Action {
    $event = $Event.SourceEventArgs.NewEvent
    $timeDiff = [Math]::Abs(([DateTime]$event.NewTime - [DateTime]$event.OldTime).TotalSeconds)
    
    if ($timeDiff -gt $threshold) {
        Write-EventLog -LogName 'Application' -Source 'TimeMonitor' -EventId 1001 -EntryType Warning -Message "Changement d'heure important détecté : $timeDiff secondes"
        # Ajoutez ici une notification par email ou une intégration SIEM
    }
}

2. Configurez le transfert d'événements Windows pour la collecte centralisée des événements de temps :

wecutil cs TimeChangeSubscription.xml

3. Configurez une tâche planifiée pour analyser les modèles de changement d'heure :

$action = New-ScheduledTaskAction -Execute 'PowerShell.exe' -Argument '-File C:\Scripts\AnalyzeTimeChanges.ps1'
$trigger = New-ScheduledTaskTrigger -Daily -At '06:00'
$principal = New-ScheduledTaskPrincipal -UserId 'SYSTEM' -LogonType ServiceAccount
Register-ScheduledTask -TaskName 'TimeChangeAnalysis' -Action $action -Trigger $trigger -Principal $principal

4. Implémentez les paramètres de stratégie de groupe pour restreindre les changements d'heure manuels :

# Vérifiez les privilèges actuels de changement d'heure
secedit /export /cfg C:\temp\current_policy.inf
Select-String -Path C:\temp\current_policy.inf -Pattern 'SeSystemtimePrivilege'

5. Créez des compteurs de performance personnalisés et des alertes dans des systèmes de surveillance comme SCOM ou des solutions tierces