ID d'événement Windows 1532 – User32 : Session du gestionnaire de fenêtres de bureau terminée

Commencez par examiner les détails complets de l'événement dans le Visualiseur d'événements pour comprendre le contexte et le moment de la terminaison de la session DWM.

1. Ouvrez Visualiseur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Système
3. Filtrez le journal en cliquant sur Filtrer le journal actuel dans le volet Actions
4. Entrez 1532 dans le champ ID d'événement et cliquez sur OK
5. Double-cliquez sur les entrées récentes de l'ID d'événement 1532 pour voir des informations détaillées
6. Notez l'horodatage, le contexte utilisateur et toute donnée supplémentaire dans la description de l'événement
7. Vérifiez la corrélation avec d'autres événements autour de la même période

Utilisez PowerShell pour interroger plusieurs événements efficacement :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=1532} -MaxEvents 20 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

Recoupez l'ID d'événement 1532 avec d'autres événements liés à la session pour obtenir une image complète de l'activité de session utilisateur.

1. Dans le Visualiseur d'événements, créez une vue personnalisée en cliquant sur Créer une vue personnalisée
2. Définissez la plage de temps pour couvrir votre période d'enquête
3. Dans le champ des ID d'événements, entrez : 1532,1074,7001,7002,6005,6006
4. Cliquez sur OK et nommez la vue "Événements de session"
5. Examinez la séquence chronologique des événements
6. Cherchez l'ID d'événement 7002 (déconnexion utilisateur) précédant l'ID d'événement 1532
7. Vérifiez la corrélation avec l'ID d'événement 1074 (arrêt du système)

Utilisez PowerShell pour analyser les modèles de session :

# Obtenir les événements liés à la session des dernières 24 heures
$StartTime = (Get-Date).AddDays(-1)
$Events = @(1532, 1074, 7001, 7002, 6005, 6006)
Get-WinEvent -FilterHashtable @{LogName='System'; Id=$Events; StartTime=$StartTime} | Sort-Object TimeCreated | Format-Table TimeCreated, Id, Message -Wrap

Vérifiez l'état du service Desktop Window Manager et examinez la configuration système qui pourrait affecter le comportement de DWM.

1. Ouvrez la console Services en appuyant sur Win + R, en tapant services.msc, et en appuyant sur Entrée
2. Localisez le service Desktop Window Manager Session Manager
3. Vérifiez que le service est en cours d'exécution et réglé sur un démarrage Automatique
4. Vérifiez les dépendances du service et assurez-vous que tous les services requis sont en cours d'exécution
5. Ouvrez le Gestionnaire des tâches et vérifiez que dwm.exe est en cours d'exécution sous la session utilisateur actuelle
6. Examinez les performances du système lors des terminaisons de session DWM

Utilisez PowerShell pour vérifier l'état du service DWM :

# Vérifiez le service Desktop Window Manager Session Manager
Get-Service -Name "UxSms" | Format-List *

# Vérifiez si le processus DWM est en cours d'exécution
Get-Process -Name "dwm" -ErrorAction SilentlyContinue | Format-Table ProcessName, Id, CPU, WorkingSet

# Vérifiez les paramètres de registre liés à DWM
Get-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" -Name "EnableLUA" -ErrorAction SilentlyContinue

Examinez les paramètres de stratégie de groupe liés aux graphiques :

1. Ouvrez l'Éditeur de stratégie de groupe en exécutant gpedit.msc
2. Accédez à Configuration de l'ordinateur → Modèles d'administration → Composants Windows → Desktop Window Manager
3. Examinez les stratégies liées au comportement de DWM et à la gestion des sessions

Enquêter sur les problèmes potentiels de pilote graphique ou de matériel qui pourraient causer des terminaisons inattendues de session DWM.

1. Ouvrez Gestionnaire de périphériques en appuyant sur Win + X et en sélectionnant Gestionnaire de périphériques
2. Développez Cartes graphiques et vérifiez les indicateurs d'avertissement ou d'erreur
3. Cliquez avec le bouton droit sur votre adaptateur graphique et sélectionnez Propriétés
4. Examinez l'onglet Événements pour tout problème récent lié au pilote
5. Vérifiez Windows Update pour les mises à jour disponibles du pilote graphique
6. Consultez le site Web du fabricant pour les dernières versions de pilotes

Utilisez PowerShell pour recueillir des informations graphiques :

# Obtenir des informations sur l'adaptateur d'affichage
Get-WmiObject -Class Win32_VideoController | Select-Object Name, DriverVersion, DriverDate, Status

# Vérifier les erreurs liées aux graphiques dans le journal Système
Get-WinEvent -FilterHashtable @{LogName='System'; Level=2,3} -MaxEvents 50 | Where-Object {$_.Message -like "*display*" -or $_.Message -like "*graphics*" -or $_.Message -like "*dwm*"} | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

Vérifiez le Visualiseur d'événements pour les erreurs liées aux graphiques :

1. Dans le Visualiseur d'événements, accédez à Journaux des applications et des services → Microsoft → Windows → Dwm-Core
2. Cherchez les événements opérationnels et d'erreur liés au Gestionnaire de fenêtres de bureau
3. Vérifiez les journaux Affichage sous le même chemin Microsoft/Windows
4. Examinez les vidages sur incident dans C:\Windows\Minidump si des plantages de DWM sont suspectés

Mettre en œuvre une surveillance complète pour suivre les modèles de session DWM et identifier les causes profondes des terminaisons inattendues.

1. Activer l'audit détaillé des sessions via la stratégie de groupe ou les modifications du registre
2. Configurer Windows Performance Toolkit (WPT) pour un suivi avancé des sessions
3. Configurer le transfert d'événements personnalisé pour une surveillance centralisée dans les environnements d'entreprise

Activer la journalisation améliorée des sessions via le registre :

# Activer la journalisation détaillée du gestionnaire de sessions
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server" -Name "LoggingEnabled" -Value 1 -Type DWord

# Activer le mode de diagnostic DWM
New-Item -Path "HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\dwm.exe" -Force
Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\dwm.exe" -Name "GlobalFlag" -Value 0x02000000 -Type DWord

Créer un script de surveillance PowerShell :

# Surveiller l'ID d'événement 1532 en temps réel
Register-WmiEvent -Query "SELECT * FROM Win32_NTLogEvent WHERE LogFile='System' AND EventCode=1532" -Action {
    $Event = $Event.SourceEventArgs.NewEvent
    Write-Host "Session DWM terminée : $($Event.TimeGenerated) - Utilisateur : $($Event.User)" -ForegroundColor Yellow
    # Ajouter ici la logique de journalisation ou d'alerte personnalisée
}

Configurer le transfert d'événements Windows pour la surveillance d'entreprise :

1. Configurer les ordinateurs sources avec winrm quickconfig
2. Créer un abonnement d'événements personnalisé XML ciblant l'ID d'événement 1532
3. Déployer l'abonnement sur le serveur Windows Event Collector
4. Surveiller les journaux centralisés pour détecter les modèles sur plusieurs systèmes