ID d'événement Windows 15 – Kernel-General : Heure du système modifiée

Commencez par examiner les détails spécifiques de l'ID d'événement 15 pour comprendre ce qui a déclenché le changement d'heure.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Système
3. Filtrez le journal en cliquant sur Filtrer le journal actuel dans le volet Actions
4. Entrez 15 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur les entrées récentes de l'ID d'événement 15 pour voir des informations détaillées
6. Examinez l'onglet Général pour l'ancienne heure, la nouvelle heure, et le processus responsable
7. Vérifiez l'onglet Détails pour des données XML supplémentaires incluant la différence de temps exacte

Recherchez des motifs dans le timing et la fréquence. La synchronisation légitime W32Time se produit généralement à intervalles réguliers, tandis que les changements manuels apparaissent comme des événements isolés.

Utilisez PowerShell pour interroger et analyser efficacement les événements de changement d'heure sur plusieurs systèmes.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les événements récents de changement d'heure :

   Get-WinEvent -FilterHashtable @{LogName='System'; Id=15} -MaxEvents 50 | Select-Object TimeCreated, Id, LevelDisplayName, Message | Format-Table -AutoSize

3. Pour une analyse détaillée des changements d'heure au cours des dernières 24 heures :

   $StartTime = (Get-Date).AddDays(-1)
   Get-WinEvent -FilterHashtable @{LogName='System'; Id=15; StartTime=$StartTime} | ForEach-Object {
       $xml = [xml]$_.ToXml()
       [PSCustomObject]@{
           TimeCreated = $_.TimeCreated
           OldTime = $xml.Event.EventData.Data[0].'#text'
           NewTime = $xml.Event.EventData.Data[1].'#text'
           Reason = $xml.Event.EventData.Data[2].'#text'
       }
   }

4. Pour vérifier l'état de synchronisation de l'heure :

   w32tm /query /status

5. Exporter les résultats pour une analyse plus approfondie :

   Get-WinEvent -FilterHashtable @{LogName='System'; Id=15} -MaxEvents 100 | Export-Csv -Path "C:\temp\TimeChangeEvents.csv" -NoTypeInformation

Examinez la configuration du service de temps Windows pour comprendre le comportement de synchronisation automatique de l'heure.

1. Vérifiez la configuration actuelle du service de temps :

   w32tm /query /configuration

2. Vérifiez les sources de synchronisation de l'heure :

   w32tm /query /source

3. Examinez les paramètres du registre du service de temps :

   Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\W32Time\Parameters"

4. Vérifiez les intervalles de synchronisation de l'heure dans le registre :

   Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\W32Time\Config"

5. Pour les ordinateurs joints au domaine, vérifiez les paramètres de temps de la stratégie de groupe :

   gpresult /h C:\temp\gpresult.html

6. Testez la synchronisation manuelle de l'heure :

   w32tm /resync /force

7. Surveillez le journal Système immédiatement après la resynchronisation pour voir si l'ID d'événement 15 apparaît

Enquêter sur les préoccupations de sécurité potentielles liées aux changements d'heure non autorisés et maintenir des pistes d'audit appropriées.

1. Vérifier le journal de sécurité pour les événements de connexion liés autour des changements d'heure :

   $TimeChangeEvents = Get-WinEvent -FilterHashtable @{LogName='System'; Id=15} -MaxEvents 10
   foreach ($Event in $TimeChangeEvents) {
       $StartTime = $Event.TimeCreated.AddMinutes(-5)
       $EndTime = $Event.TimeCreated.AddMinutes(5)
       Write-Host "Changement d'heure à : $($Event.TimeCreated)"
       Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624,4625; StartTime=$StartTime; EndTime=$EndTime} | Select-Object TimeCreated, Id, Message
   }

2. Examiner les événements de création de processus (ID d'événement 4688) pour les commandes liées au temps :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4688} | Where-Object {$_.Message -match "w32tm|date|time"} | Select-Object TimeCreated, Message

3. Vérifier les événements d'escalade de privilèges avant les changements d'heure :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4672} | Select-Object TimeCreated, Message | Format-Table -AutoSize

4. Examiner les modifications de la stratégie de groupe qui pourraient affecter la synchronisation de l'heure :

   Get-WinEvent -FilterHashtable @{LogName='System'; Id=1502,1503} | Select-Object TimeCreated, Message

5. Créer un script de surveillance pour les changements d'heure suspects :

   # Enregistrer sous Monitor-TimeChanges.ps1
   $LastCheck = (Get-Date).AddHours(-1)
   Get-WinEvent -FilterHashtable @{LogName='System'; Id=15; StartTime=$LastCheck} | ForEach-Object {
       if ($_.Message -notmatch "W32Time") {
           Write-Warning "Changement d'heure suspect détecté à $($_.TimeCreated)"
           $_.Message
       }
   }

Implémentez une surveillance complète des changements de temps pour détecter les anomalies et maintenir la conformité de sécurité.

1. Créez une tâche planifiée pour surveiller les changements de temps :

   # Créer XML pour la tâche planifiée
   $TaskXML = @"
   
   
     
       
         <QueryList><Query Id="0" Path="System"><Select Path="System">*[System[EventID=15]]</Select></Query></QueryList>
       
     
     
       
         powershell.exe
         -File "C:\Scripts\TimeChangeAlert.ps1"
       
     
   
   "@
   $TaskXML | Out-File -FilePath "C:\temp\TimeChangeMonitor.xml" -Encoding Unicode

2. Enregistrez la tâche planifiée :

   Register-ScheduledTask -TaskName "TimeChangeMonitor" -Xml (Get-Content "C:\temp\TimeChangeMonitor.xml" | Out-String)

3. Créez le script d'alerte (C:\Scripts\TimeChangeAlert.ps1) :

   # TimeChangeAlert.ps1
   $Event = Get-WinEvent -FilterHashtable @{LogName='System'; Id=15} -MaxEvents 1
   $xml = [xml]$Event.ToXml()
   $OldTime = $xml.Event.EventData.Data[0].'#text'
   $NewTime = $xml.Event.EventData.Data[1].'#text'
   $Reason = $xml.Event.EventData.Data[2].'#text'
   
   # Envoyer une alerte par email ou écrire dans un journal personnalisé
   Write-EventLog -LogName "Application" -Source "TimeMonitor" -EventId 1001 -EntryType Warning -Message "Time changed from $OldTime to $NewTime. Reason: $Reason"

4. Configurez le transfert d'événements Windows pour une surveillance centralisée :

   # Sur le serveur collecteur
   wecutil qc /q
   # Créer une souscription pour l'ID d'événement 15
   wecutil cs C:\temp\TimeChangeSubscription.xml

5. Configurez la surveillance du registre pour les changements de service de temps :

   $RegPath = "HKLM:\SYSTEM\CurrentControlSet\Services\W32Time"
   $Action = {
       Write-EventLog -LogName "Application" -Source "TimeMonitor" -EventId 1002 -EntryType Information -Message "Time service registry modified"
   }
   Register-WmiEvent -Query "SELECT * FROM RegistryTreeChangeEvent WHERE Hive='HKEY_LOCAL_MACHINE' AND RootPath='SYSTEM\\CurrentControlSet\\Services\\W32Time'" -Action $Action