ID d'événement Windows 219 – Kernel-PnP : Événement d'installation ou de suppression de pilote de périphérique

Commencez par examiner les détails spécifiques de l'ID d'événement 219 pour comprendre quelle opération de périphérique s'est produite :

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Système
3. Filtrez le journal en cliquant sur Filtrer le journal actuel dans le volet Actions
4. Entrez 219 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur les entrées récentes de l'ID d'événement 219 pour voir des informations détaillées
6. Consultez l'onglet Général pour les ID d'instance de périphérique et les descriptions d'opérations
7. Vérifiez l'onglet Détails pour les données XML contenant les ID matériels et les informations sur les pilotes

Cherchez des motifs dans le timing des événements et les informations sur les périphériques pour identifier des activités spécifiques liées au matériel ou aux pilotes.

Utilisez PowerShell pour extraire et analyser les données de l'ID d'événement 219 de manière programmatique :

# Obtenez les entrées récentes de l'ID d'événement 219 avec des informations détaillées
Get-WinEvent -FilterHashtable @{LogName='System'; Id=219} -MaxEvents 50 | 
  Select-Object TimeCreated, Id, LevelDisplayName, Message | 
  Format-Table -AutoSize

# Filtrer les événements des dernières 24 heures
$StartTime = (Get-Date).AddDays(-1)
Get-WinEvent -FilterHashtable @{LogName='System'; Id=219; StartTime=$StartTime} | 
  ForEach-Object {
    [PSCustomObject]@{
      Time = $_.TimeCreated
      Message = $_.Message
      ProcessId = $_.ProcessId
    }
  } | Format-Table -Wrap

Cette approche aide à identifier les modèles dans les opérations des appareils et à corréler les événements avec des périodes spécifiques ou des activités système.

Corréler les occurrences de l'ID d'événement 219 avec les changements réels de périphériques dans le Gestionnaire de périphériques :

1. Ouvrez Gestionnaire de périphériques en cliquant avec le bouton droit sur Ce PC et en sélectionnant Gérer → Gestionnaire de périphériques
2. Cherchez les périphériques avec des icônes d'avertissement ou récemment installés
3. Cliquez avec le bouton droit sur les périphériques suspects et sélectionnez Propriétés
4. Vérifiez l'onglet Événements pour voir l'historique des événements spécifiques au périphérique
5. Notez les horodatages et comparez-les avec les entrées de l'ID d'événement 219
6. Utilisez PowerShell pour obtenir des informations détaillées sur le périphérique :

# Lister tous les périphériques PnP avec leur statut
Get-PnpDevice | Where-Object {$_.Status -ne 'OK'} | 
  Select-Object FriendlyName, Status, Class, InstanceId | 
  Format-Table -AutoSize

# Obtenir les événements d'installation de périphériques
Get-WinEvent -FilterHashtable @{LogName='System'; Id=20001,20002,20003} -MaxEvents 20

Cette méthode aide à identifier quels périphériques spécifiques génèrent les entrées de l'ID d'événement 219.

Examinez les journaux d'installation des pilotes Windows pour comprendre le contexte des occurrences de l'ID d'événement 219 :

1. Accédez au répertoire des journaux des pilotes Windows :

# Vérifiez les journaux d'installation des pilotes
Get-ChildItem C:\Windows\inf\setupapi.dev.log -ErrorAction SilentlyContinue
Get-ChildItem C:\Windows\Panther\setupact.log -ErrorAction SilentlyContinue

2. Examinez les journaux de l'API d'installation pour des informations détaillées sur l'installation des pilotes
3. Vérifiez les journaux de Windows Update pour les installations automatiques de pilotes :

# Obtenez les événements de Windows Update liés aux pilotes
Get-WinEvent -FilterHashtable @{LogName='System'; ProviderName='Microsoft-Windows-WindowsUpdateClient'} -MaxEvents 50 | 
  Where-Object {$_.Message -like '*driver*'} | 
  Select-Object TimeCreated, Message

4. Examinez le journal des applications pour les événements liés aux pilotes :

# Vérifiez les événements d'installation de pilotes dans le journal des applications
Get-WinEvent -FilterHashtable @{LogName='Application'; Id=11707,11708} -MaxEvents 20 -ErrorAction SilentlyContinue

Configurez une surveillance complète pour l'analyse continue de l'activité Plug and Play :

1. Créez une vue personnalisée dans l'Observateur d'événements pour la surveillance PnP :

<QueryList>
  <Query Id="0" Path="System">
    <Select Path="System">*[System[(EventID=219 or EventID=20001 or EventID=20002 or EventID=20003 or EventID=10016)]]</Select>
  </Query>
</QueryList>

2. Enregistrez cette requête comme une vue personnalisée nommée "Activité des périphériques PnP"
3. Utilisez PowerShell pour créer un moniteur en temps réel :

# Surveillance des événements PnP en temps réel
Register-WinEvent -Query "*[System[EventID=219]]" -Action {
  $Event = $Event.SourceEventArgs.NewEvent
  Write-Host "$(Get-Date): Événement PnP - $($Event.Message)" -ForegroundColor Yellow
}

# Surveillez pendant 5 minutes puis arrêtez
Start-Sleep 300
Get-EventSubscriber | Unregister-Event

4. Vérifiez les clés de registre pour la configuration PnP :

# Examinez les paramètres de registre PnP
Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Services\PlugPlay" -ErrorAction SilentlyContinue
Get-ChildItem "HKLM:\SYSTEM\CurrentControlSet\Enum" | Select-Object -First 10