ID d'événement Windows 11728 – Microsoft-Windows-Kernel-General : Changement de l'heure système détecté

Commencez par examiner les détails spécifiques de l'ID d'événement 11728 pour comprendre le contexte et l'ampleur du changement d'heure.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Système
3. Filtrez le journal en cliquant sur Filtrer le journal actuel dans le volet Actions
4. Entrez 11728 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur les entrées récentes de l'ID d'événement 11728 pour voir des informations détaillées
6. Examinez l'onglet Général pour les détails du changement d'heure, y compris l'ancienne heure, la nouvelle heure et le delta de temps
7. Vérifiez l'onglet Détails pour des données XML supplémentaires, y compris les informations sur le processus

Utilisez PowerShell pour une analyse plus détaillée :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=11728} -MaxEvents 20 | Select-Object TimeCreated, Id, LevelDisplayName, Message | Format-Table -Wrap

Enquêter sur la configuration du service de temps Windows pour déterminer si les changements de temps sont un comportement attendu.

1. Ouvrir une session d'invite de commandes ou PowerShell avec élévation de privilèges
2. Vérifier l'état actuel du service de temps :

w32tm /query /status

3. Examiner la configuration du service de temps :

w32tm /query /configuration

4. Vérifier les sources du serveur NTP :

w32tm /query /peers

5. Pour les systèmes joints à un domaine, vérifier la synchronisation du temps du contrôleur de domaine :

w32tm /monitor /domain

6. Examiner les paramètres du registre du service de temps à HKLM\SYSTEM\CurrentControlSet\Services\W32Time
7. Vérifier la présence de logiciels de synchronisation de temps tiers dans Programmes et fonctionnalités

Créer une analyse complète des modèles de changement de temps pour identifier les problèmes sous-jacents.

1. Extraire des informations détaillées sur les changements de temps :

$Events = Get-WinEvent -FilterHashtable @{LogName='System'; Id=11728; StartTime=(Get-Date).AddDays(-30)}
$TimeChanges = $Events | ForEach-Object {
    $XML = [xml]$_.ToXml()
    [PSCustomObject]@{
        TimeCreated = $_.TimeCreated
        OldTime = $XML.Event.EventData.Data[0].'#text'
        NewTime = $XML.Event.EventData.Data[1].'#text'
        ProcessId = $XML.Event.EventData.Data[2].'#text'
    }
}
$TimeChanges | Export-Csv -Path "C:\Temp\TimeChanges.csv" -NoTypeInformation

2. Analyser la fréquence des changements de temps :

$TimeChanges | Group-Object {$_.TimeCreated.Date} | Select-Object Name, Count | Sort-Object Name

3. Calculer la dérive moyenne du temps :

$TimeChanges | ForEach-Object {
    $OldTime = [DateTime]$_.OldTime
    $NewTime = [DateTime]$_.NewTime
    $DriftSeconds = ($NewTime - $OldTime).TotalSeconds
    [PSCustomObject]@{
        Date = $_.TimeCreated.Date
        DriftSeconds = $DriftSeconds
    }
} | Measure-Object DriftSeconds -Average -Maximum -Minimum

4. Mettre en place une surveillance continue avec une tâche planifiée pour suivre la dérive excessive

Examinez les causes matérielles de la dérive temporelle, particulièrement pertinentes pour les machines virtuelles et le matériel vieillissant.

1. Pour les machines virtuelles, vérifiez les paramètres de synchronisation temporelle de l'hyperviseur :

# VMware - Vérifiez la synchronisation temporelle des VMware Tools
Get-Service -Name "VMTools" | Select-Object Status, StartType
# Hyper-V - Vérifiez les services d'intégration
Get-VMIntegrationService -VMName $env:COMPUTERNAME -Name "Time Synchronization"

2. Examinez les informations matérielles du système :

Get-WmiObject -Class Win32_ComputerSystem | Select-Object Manufacturer, Model, TotalPhysicalMemory
Get-WmiObject -Class Win32_BIOS | Select-Object Manufacturer, Version, ReleaseDate

3. Vérifiez les problèmes d'horloge matérielle dans le journal Système :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=1,6013,35,37} -MaxEvents 50 | Where-Object {$_.Message -like "*time*" -or $_.Message -like "*clock*"}

4. Pour les systèmes physiques, vérifiez l'état de la batterie CMOS et les paramètres temporels du BIOS
5. Examinez les paramètres de gestion de l'alimentation qui pourraient affecter l'horloge matérielle :

powercfg /query SCHEME_CURRENT SUB_SLEEP

6. Vérifiez les journaux de l'Architecture des Erreurs Matérielles de Windows (WHEA) pour les problèmes matériels :

Get-WinEvent -LogName "Microsoft-Windows-Kernel-WHEA/Errors" -MaxEvents 20

Mettre en œuvre une surveillance complète pour détecter et alerter de manière proactive sur les problèmes de synchronisation temporelle.

1. Créer une vue personnalisée de l'Observateur d'événements pour les événements liés au temps :

<QueryList>
  <Query Id="0" Path="System">
    <Select Path="System">*[System[(EventID=11728 or EventID=1 or EventID=35 or EventID=37)]]</Select>
  </Query>
</QueryList>

2. Configurer un script de surveillance basé sur PowerShell :

# Enregistrer sous Monitor-TimeChanges.ps1
param(
    [int]$MaxDriftSeconds = 60,
    [string]$EmailTo = "admin@company.com",
    [string]$SMTPServer = "mail.company.com"
)

$RecentEvents = Get-WinEvent -FilterHashtable @{LogName='System'; Id=11728; StartTime=(Get-Date).AddHours(-1)}
foreach ($Event in $RecentEvents) {
    $XML = [xml]$Event.ToXml()
    $OldTime = [DateTime]$XML.Event.EventData.Data[0].'#text'
    $NewTime = [DateTime]$XML.Event.EventData.Data[1].'#text'
    $DriftSeconds = [Math]::Abs(($NewTime - $OldTime).TotalSeconds)
    
    if ($DriftSeconds -gt $MaxDriftSeconds) {
        $Subject = "Dérive temporelle élevée détectée sur $env:COMPUTERNAME"
        $Body = "Dérive temporelle de $DriftSeconds secondes détectée à $($Event.TimeCreated)"
        Send-MailMessage -To $EmailTo -Subject $Subject -Body $Body -SmtpServer $SMTPServer
    }
}

3. Créer une tâche planifiée pour la surveillance :

$Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-File C:\Scripts\Monitor-TimeChanges.ps1"
$Trigger = New-ScheduledTaskTrigger -Once -At (Get-Date) -RepetitionInterval (New-TimeSpan -Hours 1)
$Settings = New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries -DontStopIfGoingOnBatteries
Register-ScheduledTask -TaskName "TimeChangeMonitoring" -Action $Action -Trigger $Trigger -Settings $Settings -RunLevel Highest

4. Configurer le transfert d'événements Windows pour une surveillance centralisée dans les environnements d'entreprise
5. Mettre en œuvre SCOM ou d'autres solutions de surveillance pour suivre la synchronisation temporelle à travers l'infrastructure