ID d'événement Windows 1796 – Microsoft-Windows-Kernel-General : Changement de l'heure système détecté

Commencez par examiner les entrées spécifiques de l'ID d'événement 1796 pour comprendre les modèles de changement de temps et les sources.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Système
3. Dans le volet Actions, cliquez sur Filtrer le journal actuel
4. Entrez 1796 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur chaque entrée d'ID d'événement 1796 pour examiner les détails
6. Notez les valeurs de Ancien temps et Nouveau temps dans les données de l'événement
7. Vérifiez le champ Raison pour identifier ce qui a déclenché le changement de temps
8. Cherchez des modèles dans le timing et la fréquence de ces événements

Portez une attention particulière aux ajustements de temps importants ou aux changements fréquents qui pourraient indiquer des problèmes de synchronisation ou des modifications non autorisées.

Utilisez PowerShell pour extraire et analyser les données de l'ID d'événement 1796 pour un suivi complet des changements d'heure.

1. Ouvrez PowerShell en tant qu'administrateur
2. Exécutez cette commande pour récupérer les événements récents de changement d'heure :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=1796} -MaxEvents 50 | Select-Object TimeCreated, Id, LevelDisplayName, Message | Format-Table -Wrap

3. Pour une analyse détaillée des ajustements de temps, utilisez :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=1796} | ForEach-Object {
    $xml = [xml]$_.ToXml()
    [PSCustomObject]@{
        TimeCreated = $_.TimeCreated
        OldTime = $xml.Event.EventData.Data[0].'#text'
        NewTime = $xml.Event.EventData.Data[1].'#text'
        Reason = $xml.Event.EventData.Data[2].'#text'
    }
} | Format-Table -AutoSize

4. Pour exporter les résultats pour une analyse plus approfondie :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=1796} | Export-Csv -Path "C:\Temp\TimeChangeEvents.csv" -NoTypeInformation

Vérifiez les paramètres du service Windows Time pour assurer une synchronisation NTP correcte et identifier les problèmes de configuration potentiels.

1. Ouvrez l'Invite de commandes en tant qu'administrateur
2. Vérifiez l'état actuel du service de temps :

w32tm /query /status

3. Examinez la configuration de la source de temps :

w32tm /query /configuration

4. Vérifiez les pairs de synchronisation de temps :

w32tm /query /peers

5. Dans PowerShell, examinez les paramètres de registre du service Windows Time :

Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\W32Time\Parameters" | Select-Object NtpServer, Type

6. Vérifiez que le service de temps est en cours d'exécution :

Get-Service W32Time | Select-Object Name, Status, StartType

7. Si des problèmes sont trouvés, redémarrez le service de temps :

net stop w32time && net start w32time

Mettre en œuvre une surveillance complète pour suivre et alerter sur les changements d'heure suspects à des fins de sécurité.

1. Activer les politiques d'audit avancées pour les changements d'heure :

auditpol /set /subcategory:"System Integrity" /success:enable /failure:enable

2. Créer un script de surveillance PowerShell pour des alertes en temps réel :

# Enregistrer sous TimeChangeMonitor.ps1
$Query = @"

  
    *[System[EventID=1796]]
  

"@

Register-WmiEvent -Query "SELECT * FROM Win32_VolumeChangeEvent" -Action {
    $Event = Get-WinEvent -FilterXml $Query -MaxEvents 1
    Write-Host "Changement d'heure détecté à $($Event.TimeCreated)" -ForegroundColor Yellow
    # Ajouter une notification par email ou un enregistrement ici
}

3. Configurer une vue personnalisée dans le Visualiseur d'événements pour les changements d'heure :
4. Dans le Visualiseur d'événements, cliquez avec le bouton droit sur Vues personnalisées → Créer une vue personnalisée
5. Sélectionnez Par journal → Système
6. Entrez l'ID d'événement 1796 et enregistrez sous "Changements d'heure"
7. Configurer la stratégie de groupe pour centraliser l'enregistrement des changements d'heure :

HKLM\SOFTWARE\Policies\Microsoft\Windows\EventLog\System\MaxSize = 20971520

Effectuer une analyse approfondie des événements de changement d'heure pour les enquêtes de sécurité et les rapports de conformité.

1. Créer un script d'analyse PowerShell complet :

# TimeChangeForensics.ps1
$Events = Get-WinEvent -FilterHashtable @{LogName='System'; Id=1796} -MaxEvents 1000
$Analysis = @()

foreach ($Event in $Events) {
    $xml = [xml]$Event.ToXml()
    $OldTime = [DateTime]$xml.Event.EventData.Data[0].'#text'
    $NewTime = [DateTime]$xml.Event.EventData.Data[1].'#text'
    $TimeDiff = ($NewTime - $OldTime).TotalSeconds
    
    $Analysis += [PSCustomObject]@{
        EventTime = $Event.TimeCreated
        OldTime = $OldTime
        NewTime = $NewTime
        AdjustmentSeconds = $TimeDiff
        AdjustmentType = if ([Math]::Abs($TimeDiff) -gt 300) { "Major" } else { "Minor" }
        UserSID = $Event.UserId
    }
}

$Analysis | Export-Csv -Path "C:\Forensics\TimeChangeAnalysis.csv" -NoTypeInformation
$Analysis | Where-Object AdjustmentType -eq "Major" | Format-Table

2. Corréler avec les événements de sécurité pour une analyse complète :

$TimeChanges = Get-WinEvent -FilterHashtable @{LogName='System'; Id=1796} -MaxEvents 50
$SecurityEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624,4625} -MaxEvents 100

# Cross-reference time changes with logon events
foreach ($TimeChange in $TimeChanges) {
    $Window = $TimeChange.TimeCreated.AddMinutes(-5)..($TimeChange.TimeCreated.AddMinutes(5))
    $RelatedEvents = $SecurityEvents | Where-Object { $_.TimeCreated -ge $Window[0] -and $_.TimeCreated -le $Window[1] }
    if ($RelatedEvents) {
        Write-Host "Time change at $($TimeChange.TimeCreated) correlates with $($RelatedEvents.Count) security events"
    }
}

3. Générer un rapport de conformité :

$Report = $Analysis | Group-Object { $_.EventTime.Date } | ForEach-Object {
    [PSCustomObject]@{
        Date = $_.Name
        TotalChanges = $_.Count
        MajorAdjustments = ($_.Group | Where-Object AdjustmentType -eq "Major").Count
        MaxAdjustment = ($_.Group | Measure-Object AdjustmentSeconds -Maximum).Maximum
    }
}

$Report | Export-Csv -Path "C:\Reports\DailyTimeChangeReport.csv" -NoTypeInformation