ID d'événement Windows 3 – Système : Connexion réseau établie

Ouvrez l'Observateur d'événements pour examiner les détails spécifiques des entrées d'ID d'événement 3 et comprendre quelle activité réseau a déclenché l'événement.

1. Appuyez sur Windows + R, tapez eventvwr.msc, et appuyez sur Entrée
2. Accédez à Journaux Windows → Système
3. Dans le volet Actions, cliquez sur Filtrer le journal actuel
4. Entrez 3 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur n'importe quelle entrée d'ID d'événement 3 pour voir des informations détaillées
6. Consultez l'onglet Général pour la description de l'événement et l'horodatage
7. Vérifiez l'onglet Détails pour les paramètres techniques et les informations sur la source
8. Notez la Source de l'événement et la Catégorie de tâche pour identifier le composant réseau spécifique

Exploitez PowerShell pour interroger et analyser les modèles, la fréquence et la corrélation de l'ID d'événement 3 avec d'autres événements réseau.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les entrées récentes de l'ID d'événement 3 avec des horodatages :

   Get-WinEvent -FilterHashtable @{LogName='System'; Id=3} -MaxEvents 50 | Select-Object TimeCreated, Id, LevelDisplayName, Message | Format-Table -AutoSize

3. Analysez la fréquence des événements au cours des dernières 24 heures :

   $Events = Get-WinEvent -FilterHashtable @{LogName='System'; Id=3; StartTime=(Get-Date).AddDays(-1)}
   $Events | Group-Object {$_.TimeCreated.Hour} | Select-Object Name, Count | Sort-Object Name

4. Recherchez des modèles spécifiques de services réseau :

   Get-WinEvent -FilterHashtable @{LogName='System'; Id=3} | Where-Object {$_.Message -like '*DNS*' -or $_.Message -like '*DHCP*'} | Select-Object TimeCreated, Message

5. Exportez les résultats pour une analyse plus approfondie :

   Get-WinEvent -FilterHashtable @{LogName='System'; Id=3} -MaxEvents 100 | Export-Csv -Path C:\Temp\EventID3_Analysis.csv -NoTypeInformation

Vérifiez que les entrées d'ID d'événement 3 correspondent aux opérations réelles du service réseau et identifiez toute connexion attendue manquante.

1. Vérifiez l'état du service réseau à l'aide de la console Services :

   Get-Service | Where-Object {$_.Name -like '*DNS*' -or $_.Name -like '*DHCP*' -or $_.Name -like '*Workstation*'} | Select-Object Name, Status, StartType

2. Vérifiez l'état et la configuration de l'adaptateur réseau :

   Get-NetAdapter | Select-Object Name, InterfaceDescription, Status, LinkSpeed

3. Vérifiez la configuration IP et la connectivité :

   Get-NetIPConfiguration | Select-Object InterfaceAlias, IPv4Address, IPv4DefaultGateway, DNSServer

4. Testez la connectivité réseau vers les services critiques :

   Test-NetConnection -ComputerName "domain.local" -Port 389
   Test-NetConnection -ComputerName "8.8.8.8" -Port 53

5. Examinez les journaux du pare-feu Windows pour les tentatives de connexion :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=5156} -MaxEvents 20 | Select-Object TimeCreated, Message

Utilisez Performance Monitor et PowerShell pour corréler le timing de l'Event ID 3 avec les métriques de performance réseau réelles.

1. Ouvrez Performance Monitor en exécutant perfmon.msc
2. Ajoutez des compteurs de performance liés au réseau :
   • Network Interface → Bytes Total/sec
   • Network Interface → Packets/sec
   • TCPv4 → Connections Established
3. Créez un script PowerShell pour surveiller les connexions réseau :

   while ($true) {
       $timestamp = Get-Date
       $connections = Get-NetTCPConnection | Where-Object {$_.State -eq 'Established'} | Measure-Object
       Write-Host "$timestamp - Active TCP Connections: $($connections.Count)"
       Start-Sleep -Seconds 30
   }

4. Vérifiez les modèles d'utilisation du réseau :

   Get-Counter "\Network Interface(*)\Bytes Total/sec" -SampleInterval 5 -MaxSamples 12

5. Corrélez l'activité réseau élevée avec les horodatages de l'Event ID 3 pour identifier les modèles de connexion

Enquêter sur les paramètres du registre et les configurations de la stratégie de groupe qui pourraient affecter le comportement du service réseau et la génération de l'ID d'événement 3.

1. Examiner les paramètres du registre du service réseau :

   Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters" | Select-Object EnableDHCP, Domain, SearchList

2. Vérifier la configuration du client DNS :

   Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\Dnscache\Parameters"

3. Examiner les paramètres de la stratégie de groupe liés au réseau :

   gpresult /h C:\Temp\GPResult.html
   # Examiner le rapport HTML pour les politiques réseau et de sécurité

4. Examiner la configuration du service de journal des événements :

   Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\EventLog\System" | Select-Object MaxSize, Retention

5. Vérifier l'ordre des fournisseurs de réseau dans le registre :HKLM\SYSTEM\CurrentControlSet\Control\NetworkProvider\Order
6. Vérifier les paramètres du profil de domaine du Pare-feu Windows :

   Get-NetFirewallProfile -Profile Domain | Select-Object Name, Enabled, DefaultInboundAction, DefaultOutboundAction