ID d'événement Windows 12010 – Microsoft-Windows-Kernel-General : Changement de l'heure système détecté

Commencez par examiner les détails spécifiques de l'occurrence de l'ID d'événement 12010 pour comprendre ce qui a déclenché le changement d'heure.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Système
3. Filtrez pour l'ID d'événement 12010 en cliquant avec le bouton droit sur le journal Système et en sélectionnant Filtrer le journal actuel
4. Entrez 12010 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur les entrées récentes de l'ID d'événement 12010 pour voir des informations détaillées
6. Notez les valeurs Ancienne heure et Nouvelle heure dans la description de l'événement
7. Vérifiez l'ID de processus et le Nom du processus qui a initié le changement d'heure

Utilisez PowerShell pour une analyse plus détaillée :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=12010} -MaxEvents 20 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

Enquêter sur les paramètres du service Windows Time pour déterminer si la synchronisation automatique de l'heure provoque des entrées fréquentes de l'ID d'événement 12010.

1. Vérifier l'état actuel du service de temps :

w32tm /query /status
w32tm /query /configuration

2. Examiner les sources de synchronisation de l'heure :

w32tm /query /peers

3. Vérifier les paramètres du registre du service de temps :

Get-ItemProperty -Path "HKLM\SYSTEM\CurrentControlSet\Services\W32Time\Parameters"

4. Examiner les journaux de synchronisation de l'heure :

Get-WinEvent -FilterHashtable @{LogName='System'; ProviderName='Microsoft-Windows-Time-Service'} -MaxEvents 50

5. Si dans un environnement de domaine, vérifier la source de temps du contrôleur de domaine :

w32tm /query /source

Enquêter sur les problèmes potentiels de l'horloge matérielle qui pourraient causer des corrections fréquentes de l'heure et des occurrences de l'ID d'événement 12010.

1. Vérifiez le temps de fonctionnement du système et les événements de démarrage récents :

Get-CimInstance -ClassName Win32_OperatingSystem | Select-Object LastBootUpTime, LocalDateTime
Get-WinEvent -FilterHashtable @{LogName='System'; Id=6005,6006} -MaxEvents 10

2. Surveillez la dérive temporelle sur une période :

# Créer une tâche planifiée pour enregistrer l'heure chaque heure
$action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-Command 'Get-Date | Out-File C:\temp\timelog.txt -Append'"
$trigger = New-ScheduledTaskTrigger -Once -At (Get-Date) -RepetitionInterval (New-TimeSpan -Hours 1)
Register-ScheduledTask -TaskName "TimeMonitor" -Action $action -Trigger $trigger

3. Vérifiez l'heure du BIOS/UEFI par rapport à l'heure de Windows :

# Comparer l'horloge matérielle avec l'heure système
Get-WmiObject -Class Win32_BIOS | Select-Object ReleaseDate
Get-Date

4. Examinez les modèles de l'ID d'événement 12010 :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=12010} | Group-Object {$_.TimeCreated.Date} | Sort-Object Name

5. Pour les machines virtuelles, vérifiez les paramètres de synchronisation de l'heure dans la console de gestion de l'hyperviseur

Configurez une surveillance complète pour suivre et alerter sur les changements d'heure suspects qui génèrent l'ID d'événement 12010.

1. Créez un script PowerShell pour surveiller les changements d'heure :

# TimeChangeMonitor.ps1
$logName = 'System'
$eventId = 12010
$lastCheck = (Get-Date).AddHours(-1)

$events = Get-WinEvent -FilterHashtable @{LogName=$logName; Id=$eventId; StartTime=$lastCheck}

foreach ($event in $events) {
    $xml = [xml]$event.ToXml()
    $oldTime = $xml.Event.EventData.Data[0].'#text'
    $newTime = $xml.Event.EventData.Data[1].'#text'
    
    Write-Output "Changement d'heure détecté : $oldTime -> $newTime"
    
    # Ajoutez ici la logique d'alerte (email, SIEM, etc.)
}

2. Configurez le transfert d'événements Windows pour une surveillance centralisée :

# Sur le serveur collecteur
wecutil qc

# Créez un abonnement pour l'ID d'événement 12010
wecutil cs TimeChangeSubscription.xml

3. Configurez un journal d'événements personnalisé pour le suivi des changements d'heure :

New-EventLog -LogName "TimeAudit" -Source "TimeChangeMonitor"
Write-EventLog -LogName "TimeAudit" -Source "TimeChangeMonitor" -EventId 1001 -Message "Surveillance des changements d'heure démarrée"

4. Créez une tâche planifiée pour une surveillance régulière :

$action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-File C:\Scripts\TimeChangeMonitor.ps1"
$trigger = New-ScheduledTaskTrigger -Once -At (Get-Date) -RepetitionInterval (New-TimeSpan -Minutes 15)
$principal = New-ScheduledTaskPrincipal -UserId "SYSTEM" -LogonType ServiceAccount
Register-ScheduledTask -TaskName "TimeChangeMonitor" -Action $action -Trigger $trigger -Principal $principal

Effectuer une analyse médico-légale approfondie des changements de temps pour les enquêtes de sécurité et l'audit de conformité.

1. Extraire des données XML détaillées de l'ID d'événement 12010 :

$events = Get-WinEvent -FilterHashtable @{LogName='System'; Id=12010} -MaxEvents 100

foreach ($event in $events) {
    $xml = [xml]$event.ToXml()
    $props = @{
        TimeCreated = $event.TimeCreated
        OldTime = $xml.Event.EventData.Data[0].'#text'
        NewTime = $xml.Event.EventData.Data[1].'#text'
        ProcessId = $xml.Event.EventData.Data[2].'#text'
        ProcessName = $xml.Event.EventData.Data[3].'#text'
    }
    New-Object PSObject -Property $props
} | Export-Csv -Path "C:\temp\TimeChanges.csv" -NoTypeInformation

2. Corréler avec les événements d'exécution de processus :

# Trouver les processus qui ont changé le temps
$timeChangeEvents = Get-WinEvent -FilterHashtable @{LogName='System'; Id=12010}
$processIds = $timeChangeEvents | ForEach-Object { ([xml]$_.ToXml()).Event.EventData.Data[2].'#text' }

# Rechercher les événements de création de processus
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4688} | Where-Object {
    $processIds -contains ([xml]$_.ToXml()).Event.EventData.Data[4].'#text'
}

3. Analyser le trafic de synchronisation du temps réseau :

# Vérifier le trafic NTP (nécessite des privilèges élevés)
netsh trace start capture=yes provider=Microsoft-Windows-TCPIP tracefile=C:\temp\ntp_trace.etl
# Attendre que la synchronisation du temps se produise
netsh trace stop

4. Examiner les journaux d'audit de sécurité pour l'utilisation des privilèges de temps :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4673} | Where-Object {
    $_.Message -like "*SeSystemtimePrivilege*"
} | Select-Object TimeCreated, Id, @{Name='User';Expression={([xml]$_.ToXml()).Event.EventData.Data[1].'#text'}}

5. Générer un rapport complet sur les changements de temps :

# Rapport d'analyse de temps complet
$report = @()
$timeEvents = Get-WinEvent -FilterHashtable @{LogName='System'; Id=12010} -MaxEvents 1000

foreach ($event in $timeEvents) {
    $xml = [xml]$event.ToXml()
    $oldTime = [datetime]$xml.Event.EventData.Data[0].'#text'
    $newTime = [datetime]$xml.Event.EventData.Data[1].'#text'
    $timeDiff = ($newTime - $oldTime).TotalSeconds
    
    $report += [PSCustomObject]@{
        EventTime = $event.TimeCreated
        OldTime = $oldTime
        NewTime = $newTime
        TimeDifferenceSeconds = $timeDiff
        ProcessName = $xml.Event.EventData.Data[3].'#text'
        Suspicious = [Math]::Abs($timeDiff) -gt 300  # Signaler les changements > 5 minutes
    }
}

$report | Export-Csv -Path "C:\temp\TimeChangeAnalysis.csv" -NoTypeInformation