ID d'événement Windows 1511 – Kernel-General : Changement de l'heure système détecté

Commencez par examiner les détails spécifiques de l'occurrence de l'ID d'événement 1511 pour comprendre ce qui a déclenché le changement d'heure.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Système
3. Filtrez pour l'ID d'événement 1511 en cliquant avec le bouton droit sur le journal Système et en sélectionnant Filtrer le journal actuel
4. Entrez 1511 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur les entrées récentes de l'ID d'événement 1511 pour voir les détails
6. Examinez l'onglet Général pour l'heure ancienne, la nouvelle heure et la différence de temps
7. Vérifiez l'onglet Détails pour des informations supplémentaires sur le processus qui a initié le changement

Utilisez PowerShell pour interroger plusieurs événements efficacement :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=1511} -MaxEvents 20 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

Enquêter sur la configuration du service de temps Windows pour déterminer si la synchronisation automatique de l'heure provoque les événements.

1. Ouvrir Invite de commandes en tant qu'administrateur
2. Vérifier l'état actuel du service de temps :

w32tm /query /status

3. Examiner la configuration du service de temps :

w32tm /query /configuration

4. Vérifier la source de temps et les pairs de synchronisation :

w32tm /query /peers

5. Examiner les paramètres du registre du service de temps :

Get-ItemProperty -Path "HKLM\SYSTEM\CurrentControlSet\Services\W32Time\Parameters"

6. Pour les machines jointes au domaine, vérifier la hiérarchie du domaine :

w32tm /query /source

Créer une solution de surveillance complète pour suivre les changements de temps et identifier les modèles ou anomalies.

1. Créer un script PowerShell pour surveiller les événements de changement de temps :

# Surveiller l'ID d'événement 1511 pour les changements de temps
$Events = Get-WinEvent -FilterHashtable @{LogName='System'; Id=1511; StartTime=(Get-Date).AddDays(-7)}

foreach ($Event in $Events) {
    $EventXML = [xml]$Event.ToXml()
    $OldTime = $EventXML.Event.EventData.Data[0].'#text'
    $NewTime = $EventXML.Event.EventData.Data[1].'#text'
    
    Write-Host "Changement de temps détecté :"
    Write-Host "  Date : $($Event.TimeCreated)"
    Write-Host "  Ancien temps : $OldTime"
    Write-Host "  Nouveau temps : $NewTime"
    Write-Host "  Processus : $($Event.ProcessId)"
    Write-Host "---"
}

2. Vérifier les événements liés au service de temps :

Get-WinEvent -FilterHashtable @{LogName='System'; ProviderName='Microsoft-Windows-Time-Service'} -MaxEvents 50

3. Surveiller les ajustements de temps importants qui pourraient indiquer des problèmes :

# Alerter sur les changements de temps supérieurs à 1 minute
$LargeTimeChanges = Get-WinEvent -FilterHashtable @{LogName='System'; Id=1511; StartTime=(Get-Date).AddHours(-24)} | Where-Object {
    $EventXML = [xml]$_.ToXml()
    $TimeDiff = [Math]::Abs(([DateTime]$EventXML.Event.EventData.Data[1].'#text') - ([DateTime]$EventXML.Event.EventData.Data[0].'#text')).TotalSeconds
    $TimeDiff -gt 60
}

if ($LargeTimeChanges) {
    Write-Warning "Grands changements de temps détectés au cours des dernières 24 heures"
    $LargeTimeChanges | Format-Table TimeCreated, Id, Message
}

Examinez la stabilité de l'horloge matérielle et les paramètres de synchronisation de l'heure des machines virtuelles qui pourraient entraîner des ajustements fréquents de l'heure.

1. Vérifiez la précision de l'horloge matérielle du système :

w32tm /stripchart /computer:time.windows.com /samples:5

2. Pour les machines virtuelles, vérifiez les paramètres de synchronisation de l'heure de l'hyperviseur :

# Vérifiez si vous êtes dans une VM
$ComputerSystem = Get-WmiObject -Class Win32_ComputerSystem
if ($ComputerSystem.Model -match "Virtual|VMware|Hyper-V|VirtualBox") {
    Write-Host "Machine virtuelle détectée : $($ComputerSystem.Model)"
    
    # Vérifiez les services d'intégration VM
    Get-Service | Where-Object {$_.Name -match "vmtools|hypervvssd|vboxservice"}
}

3. Examinez les journaux d'événements système pour les problèmes de temps liés au matériel :

Get-WinEvent -FilterHashtable @{LogName='System'; ProviderName='Microsoft-Windows-Kernel-General'} -MaxEvents 100 | Where-Object {$_.Message -match "time|clock"}

4. Vérifiez les paramètres de l'heure du BIOS/UEFI et l'état de la batterie :

# Vérifiez l'heure du firmware système
$BiosTime = Get-WmiObject -Class Win32_BIOS | Select-Object ReleaseDate
$SystemTime = Get-Date
Write-Host "Heure système actuelle : $SystemTime"
Write-Host "Date de sortie du BIOS : $($BiosTime.ReleaseDate)"

# Vérifiez les problèmes de batterie CMOS dans le journal système
Get-WinEvent -FilterHashtable @{LogName='System'} -MaxEvents 1000 | Where-Object {$_.Message -match "CMOS|battery|clock"}

5. Pour les invités Hyper-V, désactivez la synchronisation de l'heure si cela cause des problèmes :

# Désactivez la synchronisation de l'heure Hyper-V (exécuter dans la VM)
Set-ItemProperty -Path "HKLM\SYSTEM\CurrentControlSet\Services\W32Time\TimeProviders\VMICTimeProvider" -Name "Enabled" -Value 0

Configurez une surveillance complète des changements d'heure pour répondre aux exigences de sécurité et de conformité.

1. Créez une tâche planifiée pour enregistrer les changements d'heure dans un fichier séparé :

# Créer un script de surveillance
$ScriptContent = @'
$Events = Get-WinEvent -FilterHashtable @{LogName="System"; Id=1511; StartTime=(Get-Date).AddMinutes(-5)}
foreach ($Event in $Events) {
    $EventXML = [xml]$Event.ToXml()
    $LogEntry = "$(Get-Date -Format 'yyyy-MM-dd HH:mm:ss') - Changement d'heure : Ancien=$($EventXML.Event.EventData.Data[0].'#text') Nouveau=$($EventXML.Event.EventData.Data[1].'#text') Processus=$($Event.ProcessId)"
    Add-Content -Path "C:\Logs\TimeChanges.log" -Value $LogEntry
}
'@

# Enregistrer le script
New-Item -Path "C:\Scripts" -ItemType Directory -Force
$ScriptContent | Out-File -FilePath "C:\Scripts\MonitorTimeChanges.ps1" -Encoding UTF8

2. Créez une tâche planifiée pour exécuter le script de surveillance :

$Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-ExecutionPolicy Bypass -File C:\Scripts\MonitorTimeChanges.ps1"
$Trigger = New-ScheduledTaskTrigger -RepetitionInterval (New-TimeSpan -Minutes 5) -RepetitionDuration (New-TimeSpan -Days 365) -At (Get-Date)
$Settings = New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries -DontStopIfGoingOnBatteries

Register-ScheduledTask -TaskName "MonitorTimeChanges" -Action $Action -Trigger $Trigger -Settings $Settings -User "SYSTEM"

3. Configurez le transfert d'événements Windows pour une surveillance centralisée :

wecutil qc /q
winrm quickconfig

4. Configurez la stratégie d'audit pour les changements d'heure :

auditpol /set /subcategory:"System Integrity" /success:enable /failure:enable

5. Créez une fonction PowerShell pour le rapport de conformité :

function Get-TimeChangeReport {
    param(
        [DateTime]$StartDate = (Get-Date).AddDays(-30),
        [DateTime]$EndDate = (Get-Date)
    )
    
    $Events = Get-WinEvent -FilterHashtable @{LogName='System'; Id=1511; StartTime=$StartDate; EndTime=$EndDate}
    
    $Report = $Events | ForEach-Object {
        $EventXML = [xml]$_.ToXml()
        [PSCustomObject]@{
            TimeCreated = $_.TimeCreated
            OldTime = $EventXML.Event.EventData.Data[0].'#text'
            NewTime = $EventXML.Event.EventData.Data[1].'#text'
            ProcessId = $_.ProcessId
            MachineName = $_.MachineName
        }
    }
    
    return $Report | Sort-Object TimeCreated
}

# Générer le rapport
Get-TimeChangeReport | Export-Csv -Path "C:\Reports\TimeChangeReport.csv" -NoTypeInformation