ID d'événement Windows 30 – Kernel-Power : Transition de l'état d'alimentation du système

Commencez par examiner les détails spécifiques de la transition de puissance enregistrés dans l'événement.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Système
3. Filtrez le journal en cliquant sur Filtrer le journal actuel dans le panneau Actions
4. Entrez 30 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur les entrées récentes de l'ID d'événement 30 pour examiner les détails
6. Consultez l'onglet Général pour les informations sur l'état de l'alimentation et l'onglet Détails pour les données XML
7. Cherchez des motifs dans le timing, la fréquence, et les événements associés immédiatement avant ou après

Utilisez PowerShell pour extraire et analyser les données de transition de puissance de manière programmatique.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les entrées récentes de l'ID d'événement 30 :

   Get-WinEvent -FilterHashtable @{LogName='System'; Id=30; StartTime=(Get-Date).AddDays(-7)} | Select-Object TimeCreated, Id, LevelDisplayName, Message | Format-Table -AutoSize

3. Pour une analyse détaillée de l'état de puissance :

   $Events = Get-WinEvent -FilterHashtable @{LogName='System'; Id=30; StartTime=(Get-Date).AddDays(-1)}
   foreach ($Event in $Events) {
       $XML = [xml]$Event.ToXml()
       Write-Host "Time: $($Event.TimeCreated) - Power Transition Detected"
       Write-Host "Details: $($Event.Message)"
       Write-Host "---"
   }

4. Comptez les transitions de puissance par jour :

   Get-WinEvent -FilterHashtable @{LogName='System'; Id=30; StartTime=(Get-Date).AddDays(-30)} | Group-Object {$_.TimeCreated.Date} | Sort-Object Name

Examinez les paramètres d'alimentation du système qui contrôlent quand et comment les transitions d'alimentation se produisent.

1. Ouvrez Panneau de configuration → Options d'alimentation ou recherchez "Paramètres d'alimentation et de veille"
2. Cliquez sur Paramètres d'alimentation supplémentaires pour accéder aux options avancées
3. Sélectionnez votre plan d'alimentation actuel et cliquez sur Modifier les paramètres du plan
4. Cliquez sur Modifier les paramètres d'alimentation avancés pour examiner la configuration détaillée
5. Vérifiez ces paramètres clés:
   • Veille → Temporisateurs de mise en veille et d'hibernation
   • Paramètres USB → Paramètre de suspension sélective USB
   • Boutons d'alimentation et couvercle → Actions du bouton d'alimentation et de la fermeture du couvercle
   • Affichage → Éteindre l'affichage après les paramètres
6. Utilisez PowerShell pour auditer la configuration actuelle de l'alimentation:

   powercfg /query
   powercfg /availablesleepstates
   powercfg /devicequery wake_armed

7. Générez un rapport d'efficacité énergétique:

   powercfg /energy /output C:\temp\energy-report.html

Identifiez quels appareils ou processus provoquent des changements d'état d'alimentation inattendus.

1. Vérifiez ce qui a réveillé le système de la veille :

   powercfg /lastwake

2. Listez tous les appareils capables de réveiller le système :

   powercfg /devicequery wake_armed

3. Examinez les minuteries de réveil et les tâches planifiées :

   powercfg /waketimers

4. Désactivez les sources de réveil spécifiques si nécessaire :

   # Désactiver la capacité de réveil de l'adaptateur réseau
   powercfg /devicedisablewake "Intel(R) Ethernet Connection"
   # Désactiver la capacité de réveil USB
   powercfg /devicedisablewake "USB Root Hub"

5. Vérifiez les applications empêchant la veille :

   powercfg /requests

6. Surveillez les événements d'alimentation en temps réel :

   Get-WinEvent -FilterHashtable @{LogName='System'; Id=30} -MaxEvents 1 | Format-List *

Implémentez une surveillance complète pour corréler l'ID d'événement 30 avec d'autres événements système et indicateurs de performance.

1. Créez un script PowerShell pour une surveillance continue :

   # Script PowerShell : Monitor-PowerEvents.ps1
   $LogName = 'System'
   $EventID = 30
   $OutputFile = "C:\temp\PowerTransitions.csv"
   
   Register-WmiEvent -Query "SELECT * FROM Win32_VolumeChangeEvent" -Action {
       $Event = Get-WinEvent -FilterHashtable @{LogName=$LogName; Id=$EventID} -MaxEvents 1
       $Event | Select-Object TimeCreated, Id, LevelDisplayName, Message | Export-Csv $OutputFile -Append -NoTypeInformation
   }

2. Configurez la traçabilité avec Windows Performance Toolkit (WPT) pour une analyse détaillée de l'alimentation :

   # Démarrer la traçabilité de l'alimentation
   wpr -start power -filemode
   # Arrêter après la collecte des données
   wpr -stop C:\temp\power-trace.etl

3. Configurez des vues personnalisées du journal des événements dans l'Observateur d'événements :
   • Cliquez avec le bouton droit sur Vues personnalisées → Créer une vue personnalisée
   • Définissez le niveau d'événement sur Information
   • Ajoutez l'ID d'événement 30 et les événements d'alimentation associés (1, 42, 107)
   • Enregistrez sous "Événements de gestion de l'alimentation"
4. Utilisez la stratégie de groupe pour standardiser les paramètres d'alimentation sur les ordinateurs du domaine :
   • Ouvrez gpedit.msc ou la console de gestion des stratégies de groupe
   • Accédez à Configuration de l'ordinateur → Modèles d'administration → Système → Gestion de l'alimentation
   • Configurez de manière cohérente les politiques de veille et d'hibernation
5. Implémentez des règles de corrélation SIEM pour alerter sur les modèles de transition d'alimentation anormaux