ID d'événement Windows 18 – Sources diverses : Événement d'application ou de service générique

Commencez par examiner la source de l'événement pour comprendre quelle application ou service a généré l'ID d'événement 18.

1. Ouvrez Observateur d'événements en appuyant sur Windows + R, en tapant eventvwr.msc, et en appuyant sur Entrée.

2. Accédez au journal contenant l'événement (généralement Journaux Windows → Application ou Système).

3. Localisez l'ID d'événement 18 et examinez le champ Source dans les propriétés de l'événement.

4. Utilisez PowerShell pour filtrer les événements par source pour une analyse de modèle :

Get-WinEvent -FilterHashtable @{LogName='Application'; Id=18} | Group-Object ProviderName | Sort-Object Count -Descending

5. Examinez la description de l'événement et tout champ de données supplémentaire pour comprendre le contexte spécifique.

6. Vérifiez le moment de l'événement pour le corréler avec tout changement récent du système ou activité d'application.

Examinez les modèles de fréquence et de synchronisation de l'ID d'événement 18 pour déterminer s'il représente un fonctionnement normal ou un problème.

1. Interrogez les événements des dernières 24 heures pour établir la fréquence de référence :

$StartTime = (Get-Date).AddDays(-1)
Get-WinEvent -FilterHashtable @{LogName='Application'; Id=18; StartTime=$StartTime} | Measure-Object

2. Regroupez les événements par heure pour identifier les heures de pointe :

Get-WinEvent -FilterHashtable @{LogName='Application'; Id=18; StartTime=$StartTime} | Group-Object {$_.TimeCreated.Hour} | Sort-Object Name

3. Vérifiez la corrélation avec les événements système tels que le démarrage, l'arrêt ou les redémarrages de service :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=@(6005,6006,7034,7036)} -MaxEvents 50

4. Exportez les événements en CSV pour une analyse détaillée :

Get-WinEvent -FilterHashtable @{LogName='Application'; Id=18} -MaxEvents 100 | Select-Object TimeCreated, ProviderName, LevelDisplayName, Message | Export-Csv -Path "C:\Temp\EventID18_Analysis.csv" -NoTypeInformation

5. Examinez les données exportées pour détecter des modèles, des pics ou des anomalies pouvant indiquer des problèmes.

Enquêter sur les journaux et la documentation spécifiques à l'application pour comprendre la signification de l'ID d'événement 18 pour la source identifiée.

1. Vérifiez si l'application source a des fichiers journaux dédiés dans les répertoires C:\ProgramData ou C:\Program Files.

2. Consultez la documentation de l'application ou la base de connaissances du fournisseur pour les définitions de l'ID d'événement 18.

3. Interrogez les journaux d'application personnalisés s'ils existent :

Get-WinEvent -ListLog * | Where-Object {$_.LogName -like "*Application*" -or $_.LogName -like "*Custom*"}

4. Pour les applications Microsoft, vérifiez les journaux spécifiques à Office ou à d'autres produits :

Get-WinEvent -FilterHashtable @{LogName='OAlerts'} -ErrorAction SilentlyContinue

5. Utilisez Process Monitor (ProcMon) pour tracer l'accès aux fichiers et au registre lors de la génération de l'ID d'événement 18 :

- Téléchargez ProcMon depuis Microsoft Sysinternals

- Définissez des filtres pour le processus de l'application source

- Surveillez pendant l'occurrence de l'événement pour identifier les activités liées

6. Vérifiez les journaux de compatibilité des applications Windows pour d'éventuels problèmes :

Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-Application-Experience/Program-Compatibility-Assistant/Analytic'} -MaxEvents 20

Déterminez si les occurrences de l'ID d'événement 18 sont corrélées avec des problèmes de performance du système ou une consommation de ressources.

1. Surveillez la performance du système lors de la génération de l'ID d'événement 18 en utilisant le Moniteur de performance :

- Ouvrez perfmon.exe

- Ajoutez des compteurs pour l'utilisation du processeur, de la mémoire et du disque

- Corrélez les pics de performance avec les horodatages des événements

2. Vérifiez les fuites de mémoire ou l'épuisement des ressources :

Get-Process | Sort-Object WorkingSet -Descending | Select-Object -First 10 Name, WorkingSet, CPU

3. Examinez l'utilisation des ressources système autour des heures des événements :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=@(2004,2019)} -MaxEvents 20

4. Utilisez le Moniteur de ressources pour identifier les applications consommant des ressources excessives :

- Ouvrez resmon.exe

- Surveillez les onglets CPU, Mémoire, Disque et Réseau

- Recherchez les modèles d'utilisation des ressources de l'application source

5. Vérifiez le Visualiseur d'événements pour les avertissements de performance liés :

Get-WinEvent -FilterHashtable @{LogName='Application'; Level=3; StartTime=(Get-Date).AddHours(-2)} | Where-Object {$_.Message -like "*performance*" -or $_.Message -like "*slow*"}

Mettre en œuvre des techniques de diagnostic avancées et des résolutions potentielles basées sur les résultats de l'analyse de l'ID d'événement 18.

1. Activer la journalisation détaillée pour l'application source si disponible :

- Vérifier les fichiers de configuration de l'application pour les paramètres de verbosité de la journalisation

- Examiner les clés de registre sous HKLM\SOFTWARE pour l'application

- Modifier temporairement les niveaux de journalisation pour une analyse plus approfondie

2. Utiliser Windows Performance Toolkit (WPT) pour une analyse de trace détaillée :

# Installer WPT à partir du SDK Windows si non disponible
wpr.exe -start GeneralProfile -start CPU

3. Créer des abonnements personnalisés au journal des événements pour une surveillance centralisée :

wecutil cs "C:\Temp\EventID18_Subscription.xml"

4. Mettre en œuvre un script de surveillance PowerShell pour le suivi en temps réel de l'ID d'événement 18 :

Register-WmiEvent -Query "SELECT * FROM Win32_NTLogEvent WHERE EventCode = 18" -Action {
    $Event = $Event.SourceEventArgs.NewEvent
    Write-Host "ID d'événement 18 détecté de $($Event.SourceName) à $($Event.TimeGenerated)"
}

5. Configurer le transfert d'événements Windows (WEF) pour une surveillance à l'échelle de l'entreprise :

- Configurer le serveur collecteur avec winrm quickconfig

- Configurer les ordinateurs sources avec wecutil qc

- Créer un abonnement pour l'ID d'événement 18 sur plusieurs systèmes

6. Si l'ID d'événement 18 indique des erreurs d'application, envisager :

- Réinstaller ou mettre à jour l'application source

- Vérifier les problèmes de compatibilité de l'application

- Contacter le support du fournisseur avec des détails spécifiques sur l'événement