ID d'événement Windows 16384 – Microsoft-Windows-Kernel-General : Changement de l'heure système détecté

Commencez par examiner les détails spécifiques de l'ID d'événement 16384 pour comprendre ce qui a déclenché le changement d'heure.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Système
3. Filtrez pour l'ID d'événement 16384 en cliquant avec le bouton droit sur le journal Système et en sélectionnant Filtrer le journal actuel
4. Entrez 16384 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur les entrées récentes de l'événement 16384 pour voir les informations détaillées
6. Vérifiez l'onglet Général pour les anciennes et nouvelles valeurs de temps
7. Examinez l'onglet Détails pour les informations de processus et la source du changement

Utilisez PowerShell pour interroger plusieurs événements efficacement :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=16384} -MaxEvents 20 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

Examinez la configuration du service Windows Time pour comprendre le comportement de synchronisation automatique de l'heure.

1. Ouvrez une invite de commande ou PowerShell avec élévation de privilèges
2. Vérifiez la configuration actuelle du service de temps :

w32tm /query /configuration

3. Examinez la source de temps et les paramètres de synchronisation :

w32tm /query /source
w32tm /query /status

4. Vérifiez les événements récents de synchronisation de l'heure :

Get-WinEvent -FilterHashtable @{LogName='System'; ProviderName='Microsoft-Windows-Time-Service'} -MaxEvents 10

5. Vérifiez la hiérarchie de synchronisation de l'heure du domaine :

w32tm /query /peers

6. Testez la synchronisation manuelle pour identifier les problèmes :

w32tm /resync /force

Examinez la fréquence et les modèles de changements de temps pour identifier les problèmes potentiels ou établir des bases de référence.

1. Interroger les occurrences de l'événement 16384 au cours des 30 derniers jours :

$StartTime = (Get-Date).AddDays(-30)
$Events = Get-WinEvent -FilterHashtable @{LogName='System'; Id=16384; StartTime=$StartTime}
$Events | Group-Object {$_.TimeCreated.Date} | Sort-Object Name

2. Créer une analyse détaillée des changements de temps :

$Events | ForEach-Object {
    $EventXML = [xml]$_.ToXml()
    [PSCustomObject]@{
        TimeCreated = $_.TimeCreated
        ProcessId = $EventXML.Event.EventData.Data[0].'#text'
        ProcessName = $EventXML.Event.EventData.Data[1].'#text'
        OldTime = $EventXML.Event.EventData.Data[2].'#text'
        NewTime = $EventXML.Event.EventData.Data[3].'#text'
    }
} | Format-Table -AutoSize

3. Vérifiez la corrélation avec les événements système :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=@(1074,6005,6006,16384); StartTime=$StartTime} | Sort-Object TimeCreated

4. Exporter les données de changement de temps pour une analyse plus approfondie :

$Events | Export-Csv -Path "C:\Temp\TimeChanges.csv" -NoTypeInformation

Examinez les changements de temps d'un point de vue sécurité et assurez-vous de la conformité avec les exigences d'audit.

1. Vérifiez les changements de temps non autorisés en les corrélant avec les événements de connexion utilisateur :

$TimeChanges = Get-WinEvent -FilterHashtable @{LogName='System'; Id=16384; StartTime=(Get-Date).AddDays(-7)}
$LogonEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624; StartTime=(Get-Date).AddDays(-7)}

# Corréler les changements de temps avec les sessions utilisateur
$TimeChanges | ForEach-Object {
    $ChangeTime = $_.TimeCreated
    $NearbyLogons = $LogonEvents | Where-Object {[Math]::Abs(($_.TimeCreated - $ChangeTime).TotalMinutes) -lt 30}
    [PSCustomObject]@{
        TimeChange = $ChangeTime
        NearbyLogons = $NearbyLogons.Count
        Users = ($NearbyLogons | ForEach-Object {([xml]$_.ToXml()).Event.EventData.Data[5].'#text'} | Select-Object -Unique) -join ', '
    }
}

2. Examinez les paramètres de stratégie de groupe affectant la synchronisation du temps :

Get-ItemProperty -Path "HKLM\SOFTWARE\Policies\Microsoft\W32Time\TimeProviders\NtpClient" -ErrorAction SilentlyContinue
Get-ItemProperty -Path "HKLM\SOFTWARE\Policies\Microsoft\W32Time\Config" -ErrorAction SilentlyContinue

3. Vérifiez les événements de sécurité liés au temps :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=@(4616,4624,4625)} -MaxEvents 50 | Where-Object {$_.Message -match 'time|clock'}

4. Générez un rapport de conformité pour les changements de temps :

$Report = $TimeChanges | ForEach-Object {
    $EventXML = [xml]$_.ToXml()
    [PSCustomObject]@{
        Timestamp = $_.TimeCreated
        EventId = $_.Id
        Source = $_.ProviderName
        ProcessId = $EventXML.Event.EventData.Data[0].'#text'
        ProcessName = $EventXML.Event.EventData.Data[1].'#text'
        Description = "Changement de l'heure système"
        Impact = "Impact potentiel sur l'authentification/l'audit"
    }
}
$Report | Export-Csv -Path "C:\Temp\TimeChangeAudit.csv" -NoTypeInformation

Configurez une surveillance proactive des changements de temps pour détecter les problèmes avant qu'ils n'affectent les opérations.

1. Créez une tâche planifiée pour surveiller les changements de temps :

$Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-WindowStyle Hidden -Command \"Get-WinEvent -FilterHashtable @{LogName='System'; Id=16384; StartTime=(Get-Date).AddMinutes(-5)} | Export-Csv -Path 'C:\Logs\TimeChanges.csv' -Append -NoTypeInformation\""
$Trigger = New-ScheduledTaskTrigger -Once -At (Get-Date) -RepetitionInterval (New-TimeSpan -Minutes 5) -RepetitionDuration (New-TimeSpan -Days 365)
$Settings = New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries -DontStopIfGoingOnBatteries
Register-ScheduledTask -TaskName "TimeChangeMonitor" -Action $Action -Trigger $Trigger -Settings $Settings -User "SYSTEM"

2. Configurez le transfert d'événements Windows pour une surveillance centralisée :

# Sur le serveur collecteur
wecutil qc /q

# Créez un abonnement pour l'événement 16384
$SubscriptionXML = @"
<Subscription xmlns="http://schemas.microsoft.com/2006/03/windows/events/subscription">
    <SubscriptionId>TimeChangeEvents</SubscriptionId>
    <SubscriptionType>SourceInitiated</SubscriptionType>
    <Description>Forward Event ID 16384 time change events</Description>
    <Enabled>true</Enabled>
    <Uri>http://schemas.microsoft.com/wbem/wsman/1/windows/EventLog</Uri>
    <ConfigurationMode>Normal</ConfigurationMode>
    <Query>
        <![CDATA[
        <QueryList>
            <Query Id="0">
                <Select Path="System">*[System[EventID=16384]]</Select>
            </Query>
        </QueryList>
        ]]>
    </Query>
</Subscription>
"@

$SubscriptionXML | Out-File -FilePath "C:\Temp\TimeChangeSubscription.xml"
wecutil cs "C:\Temp\TimeChangeSubscription.xml"

3. Configurez la surveillance du registre pour les changements de service de temps :

# Surveillez les changements de registre W32Time
$RegPath = "HKLM\SYSTEM\CurrentControlSet\Services\W32Time"
Register-WmiEvent -Query "SELECT * FROM RegistryTreeChangeEvent WHERE Hive='HKEY_LOCAL_MACHINE' AND RootPath='SYSTEM\\CurrentControlSet\\Services\\W32Time'" -Action {
    Write-EventLog -LogName Application -Source "TimeMonitor" -EventId 1001 -Message "W32Time registry modification detected"
}