ID d'événement Windows 300 – Inconnu : Événement générique d'application ou de système

Commencez par examiner les détails complets de l'événement pour recueillir des indices sur la source :

1. Ouvrez Observateur d'événements → Journaux Windows → Application
2. Localisez les entrées d'ID d'événement 300 et double-cliquez pour voir les détails
3. Notez l'horodatage exact, le nom de l'ordinateur et tout texte de description
4. Utilisez PowerShell pour filtrer et analyser les motifs :

Get-WinEvent -FilterHashtable @{LogName='Application'; Id=300} -MaxEvents 50 | Select-Object TimeCreated, LevelDisplayName, Message | Format-Table -Wrap

5. Recoupez les horodatages avec d'autres activités système :

# Vérifiez les installations d'applications autour de la même période
Get-WinEvent -FilterHashtable @{LogName='Application'; Id=1033,1034,11707,11708} | Where-Object {$_.TimeCreated -gt (Get-Date).AddHours(-24)} | Select-Object TimeCreated, Id, LevelDisplayName, Message

6. Examinez le journal Système pour les événements connexes :

Get-WinEvent -FilterHashtable @{LogName='System'; StartTime=(Get-Date).AddHours(-2)} | Where-Object {$_.TimeCreated -eq (Get-Date "2026-03-18 14:30:00")} | Format-List

Examinez le registre Windows pour identifier les enregistrements de source d'événements corrompus ou manquants :

1. Ouvrez l'Éditeur du Registre en tant qu'Administrateur
2. Accédez à HKLM\SYSTEM\CurrentControlSet\Services\EventLog\Application
3. Cherchez des entrées suspectes ou corrompues qui pourraient correspondre à vos événements inconnus
4. Utilisez PowerShell pour énumérer toutes les sources d'événements enregistrées :

# Lister toutes les sources d'événements d'application enregistrées
Get-ChildItem "HKLM:\SYSTEM\CurrentControlSet\Services\EventLog\Application" | Select-Object PSChildName | Sort-Object PSChildName

5. Vérifiez les entrées de source d'événements orphelines ou invalides :

# Identifier les sources d'événements avec des fichiers de messages manquants
$EventSources = Get-ChildItem "HKLM:\SYSTEM\CurrentControlSet\Services\EventLog\Application"
foreach ($Source in $EventSources) {
    $MessageFile = Get-ItemProperty -Path $Source.PSPath -Name "EventMessageFile" -ErrorAction SilentlyContinue
    if ($MessageFile -and !(Test-Path $MessageFile.EventMessageFile)) {
        Write-Host "Fichier de message manquant pour la source : $($Source.PSChildName)" -ForegroundColor Red
        Write-Host "Chemin attendu : $($MessageFile.EventMessageFile)" -ForegroundColor Yellow
    }
}

6. Si vous trouvez des entrées corrompues, sauvegardez le registre et supprimez les sources invalides :

# Sauvegarder le registre avant de faire des modifications
reg export "HKLM\SYSTEM\CurrentControlSet\Services\EventLog\Application" "C:\Temp\EventLog_Backup.reg"

Utilisez des outils de surveillance des processus pour identifier quelle application génère les événements inconnus :

1. Téléchargez et exécutez Process Monitor (ProcMon) de Microsoft Sysinternals
2. Configurez des filtres pour surveiller l'activité du registre et du système de fichiers liée à la journalisation des événements :
3. Configurez les filtres de ProcMon :

• Activité des processus et des threads : Inclure
• Activité du système de fichiers : Inclure les chemins contenant "EventLog"
• Activité du registre : Inclure les clés sous "HKLM\SYSTEM\CurrentControlSet\Services\EventLog"

4. Alternativement, utilisez PowerShell pour surveiller la création d'événements en temps réel :

# Surveiller les nouvelles entrées Event ID 300 en temps réel
Register-WmiEvent -Query "SELECT * FROM Win32_NTLogEvent WHERE LogFile='Application' AND EventCode=300" -Action {
    $Event = $Event.SourceEventArgs.NewEvent
    Write-Host "Nouvel Event ID 300 détecté à $($Event.TimeGenerated)" -ForegroundColor Green
    Write-Host "Source : $($Event.SourceName)" -ForegroundColor Yellow
    Write-Host "Message : $($Event.Message)" -ForegroundColor Cyan
    
    # Obtenir les processus en cours d'exécution
    Get-Process | Where-Object {$_.StartTime -gt (Get-Date).AddMinutes(-5)} | Select-Object Name, Id, StartTime
}

5. Utilisez Windows Performance Toolkit (WPT) pour une traçabilité avancée :

# Démarrer la traçabilité ETW pour l'activité du journal des événements
wpr -start GeneralProfile -filemode

6. Reproduisez le problème pendant que la surveillance est active, puis arrêtez la traçabilité :

wpr -stop C:\Temp\EventTrace.etl

Adressez la corruption potentielle dans le service Windows Event Log et les composants associés :

1. Exécutez le Vérificateur de fichiers système pour réparer les fichiers système corrompus :

# Exécuter l'analyse SFC en tant qu'administrateur
sfc /scannow

2. Vérifiez et réparez le service Windows Event Log :

# Arrêter le service Event Log
Stop-Service -Name "EventLog" -Force

# Effacer les fichiers journaux corrompus (sauvegarder d'abord)
Copy-Item "C:\Windows\System32\winevt\Logs\Application.evtx" "C:\Temp\Application_backup.evtx"

# Redémarrer le service Event Log
Start-Service -Name "EventLog"

3. Réenregistrez les DLLs liées à Event Log :

# Réenregistrer les DLLs critiques d'Event Log
regsvr32 /s wevtapi.dll
regsvr32 /s wevtsvc.dll
regsvr32 /s wer.dll

4. Reconstruisez les enregistrements de source d'événements en utilisant PowerShell :

# Créer une nouvelle source d'événements pour les tests
if (![System.Diagnostics.EventLog]::SourceExists("TestSource")) {
    [System.Diagnostics.EventLog]::CreateEventSource("TestSource", "Application")
    Write-Host "Source d'événement de test créée avec succès" -ForegroundColor Green
} else {
    Write-Host "La source d'événement de test existe déjà" -ForegroundColor Yellow
}

# Tester l'écriture sur la nouvelle source
[System.Diagnostics.EventLog]::WriteEntry("TestSource", "Message de test depuis PowerShell", "Information", 100)

5. Exécutez DISM pour réparer l'image Windows si SFC trouve des problèmes :

# Vérifier l'état de santé de l'image Windows
DISM /Online /Cleanup-Image /CheckHealth

# Réparer si des problèmes sont trouvés
DISM /Online /Cleanup-Image /RestoreHealth

Déployer des scripts de surveillance et d'analyse complets pour les problèmes d'événements inconnus persistants :

1. Créer un script PowerShell pour capturer l'état détaillé du système lors de l'occurrence de l'événement :

# Script d'enquête avancée sur l'ID d'événement 300
$LogPath = "C:\Temp\Event300_Investigation.log"
$StartTime = Get-Date

function Write-InvestigationLog {
    param([string]$Message)
    $Timestamp = Get-Date -Format "yyyy-MM-dd HH:mm:ss"
    "[$Timestamp] $Message" | Out-File -FilePath $LogPath -Append
}

# Surveiller l'ID d'événement 300 et capturer l'état du système
Register-WmiEvent -Query "SELECT * FROM Win32_NTLogEvent WHERE LogFile='Application' AND EventCode=300" -Action {
    $EventTime = Get-Date
    Write-InvestigationLog "ID d'événement 300 détecté à $EventTime"
    
    # Capturer les processus en cours
    $Processes = Get-Process | Select-Object Name, Id, CPU, WorkingSet, StartTime
    Write-InvestigationLog "Processus actifs : $($Processes.Count)"
    
    # Capturer l'activité récente du système de fichiers
    $RecentFiles = Get-ChildItem "C:\Windows\Temp", "C:\Temp" -Recurse -ErrorAction SilentlyContinue | 
                   Where-Object {$_.LastWriteTime -gt $EventTime.AddMinutes(-5)}
    Write-InvestigationLog "Modifications récentes de fichiers : $($RecentFiles.Count)"
    
    # Capturer les connexions réseau
    $Connections = Get-NetTCPConnection | Where-Object {$_.State -eq "Established"}
    Write-InvestigationLog "Connexions actives : $($Connections.Count)"
    
    # Exporter des informations détaillées sur l'événement
    $Event = $Event.SourceEventArgs.NewEvent
    Write-InvestigationLog "Détails de l'événement : Source=$($Event.SourceName), Message=$($Event.Message)"
}

2. Mettre en œuvre la surveillance du registre pour les changements de source d'événement :

# Surveiller les changements de registre pour les sources de journal d'événements
$RegistryWatcher = New-Object System.IO.FileSystemWatcher
$RegistryWatcher.Path = "C:\Windows\System32\config"
$RegistryWatcher.Filter = "SYSTEM"
$RegistryWatcher.NotifyFilter = [System.IO.NotifyFilters]::LastWrite
$RegistryWatcher.EnableRaisingEvents = $true

Register-ObjectEvent -InputObject $RegistryWatcher -EventName "Changed" -Action {
    Write-InvestigationLog "Ruche SYSTEM du registre modifiée - changement potentiel de source d'événement"
}

3. Créer une analyse de corrélation automatisée :

# Corréler l'ID d'événement 300 avec les activités du système
$CorrelationScript = {
    $Event300Times = Get-WinEvent -FilterHashtable @{LogName='Application'; Id=300} -MaxEvents 10 | 
                     Select-Object TimeCreated
    
    foreach ($EventTime in $Event300Times) {
        $WindowStart = $EventTime.TimeCreated.AddMinutes(-2)
        $WindowEnd = $EventTime.TimeCreated.AddMinutes(2)
        
        # Vérifier les événements d'application dans la fenêtre temporelle
        $RelatedEvents = Get-WinEvent -FilterHashtable @{
            LogName='Application','System'
            StartTime=$WindowStart
            EndTime=$WindowEnd
        } | Where-Object {$_.Id -ne 300}
        
        Write-Host "Événement à $($EventTime.TimeCreated) - Événements liés : $($RelatedEvents.Count)" -ForegroundColor Cyan
        $RelatedEvents | Select-Object Id, LevelDisplayName, ProviderName | Format-Table
    }
}

Invoke-Command -ScriptBlock $CorrelationScript