ID d'événement Windows 4 – Kernel-General : Processus système terminé de manière inattendue

Commencez par examiner les détails spécifiques de l'ID d'événement 4 pour comprendre quel processus a été terminé et pourquoi.

1. Ouvrez Observateur d'événements → Journaux Windows → Système
2. Filtrez pour l'ID d'événement 4 en utilisant l'option de filtre ou la fonctionnalité de recherche
3. Double-cliquez sur l'entrée la plus récente de l'ID d'événement 4 pour voir les informations détaillées
4. Notez le nom du processus, le PID et le code de sortie à partir de la description de l'événement
5. Utilisez PowerShell pour recueillir un contexte supplémentaire :

   Get-WinEvent -FilterHashtable @{LogName='System'; Id=4} -MaxEvents 10 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

6. Faites une référence croisée avec les journaux Application et Sécurité pour les événements connexes :

   $TimeRange = (Get-Date).AddHours(-2)
   Get-WinEvent -FilterHashtable @{LogName='Application','System','Security'; StartTime=$TimeRange} | Where-Object {$_.Id -in @(1000,1001,6008,6009,41)} | Sort-Object TimeCreated

7. Vérifiez le Moniteur de fiabilité Windows pour un contexte supplémentaire sur le crash : perfmon /rel

Les problèmes matériels causent fréquemment l'ID d'événement 4, donc une vérification systématique du matériel est essentielle.

1. Exécutez le Diagnostic de mémoire Windows pour vérifier les problèmes de RAM :

   mdsched.exe

2. Vérifiez les températures du système et l'état du matériel :

   Get-WmiObject -Class Win32_TemperatureProbe | Select-Object Name, CurrentReading, Status
   Get-WmiObject -Class Win32_Fan | Select-Object Name, DesiredSpeed, Status

3. Vérifiez l'intégrité des pilotes et identifiez les pilotes problématiques :

   Get-WindowsDriver -Online | Where-Object {$_.Driver -like "*sys"} | Sort-Object Date -Descending | Select-Object -First 20

4. Exécutez le Vérificateur de pilotes pour détecter les problèmes de pilotes :

   verifier /standard /all

5. Vérifiez le Gestionnaire de périphériques pour les conflits matériels : devmgmt.msc
6. Examinez les journaux d'événements système pour les avertissements liés au matériel :

   Get-WinEvent -FilterHashtable @{LogName='System'; Level=2,3} -MaxEvents 50 | Where-Object {$_.ProviderName -like "*disk*" -or $_.ProviderName -like "*memory*" -or $_.ProviderName -like "*hardware*"}

La corruption du système se manifeste souvent par des terminaisons de processus inattendues enregistrées dans l'ID d'événement 4.

1. Exécutez le Vérificateur de fichiers système pour détecter et réparer les fichiers système corrompus :

   sfc /scannow

2. Utilisez DISM pour réparer l'image Windows si SFC trouve des problèmes :

   DISM /Online /Cleanup-Image /CheckHealth
   DISM /Online /Cleanup-Image /ScanHealth
   DISM /Online /Cleanup-Image /RestoreHealth

3. Vérifiez l'intégrité du registre et sauvegardez les ruches critiques :

   reg export HKLM\SYSTEM C:\Backup\system_backup.reg
   reg export HKLM\SOFTWARE C:\Backup\software_backup.reg

4. Vérifiez la configuration de démarrage du système :

   bcdedit /enum all
   bcdedit /v

5. Vérifiez les opérations de fichiers en attente qui pourraient causer des conflits :

   reg query "HKLM\SYSTEM\CurrentControlSet\Control\Session Manager" /v PendingFileRenameOperations

6. Exécutez Windows Update pour garantir les derniers correctifs :

   Get-WindowsUpdate -Install -AcceptAll -AutoReboot

Configurez une surveillance complète pour capturer des informations détaillées sur les futures occurrences de l'ID d'événement 4.

1. Configurez le système pour générer des vidages mémoire complets :

   Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\CrashControl" -Name "CrashDumpEnabled" -Value 1
   Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\CrashControl" -Name "DumpFile" -Value "C:\Windows\MEMORY.DMP"

2. Activez la journalisation de Process Monitor pour les processus système critiques :

   $ProcessList = @("winlogon.exe", "csrss.exe", "smss.exe", "lsass.exe")
   foreach ($Process in $ProcessList) {
       Get-Process $Process -ErrorAction SilentlyContinue | ForEach-Object {
           Write-Host "Monitoring process: $($_.ProcessName) (PID: $($_.Id))"
       }
   }

3. Configurez Windows Performance Toolkit pour une analyse avancée :

   wpr -start GeneralProfile -start CPU -start DiskIO

4. Configurez les abonnements au journal des événements pour une surveillance centralisée :

   wecutil cs subscription.xml

5. Installez et configurez les outils de débogage Windows :

   winget install Microsoft.WindowsSDK

6. Créez des vues personnalisées du journal des événements pour la corrélation de l'ID d'événement 4 :

   $Query = @"
   
     
       *[System[EventID=4]]
     
   
   "@
   Get-WinEvent -FilterXml $Query

Établir des mesures proactives pour prévenir les occurrences futures de l'ID d'événement 4 et améliorer la stabilité du système.

1. Configurer la surveillance automatique de l'état du système :

   $Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-Command Get-WinEvent -FilterHashtable @{LogName='System'; Id=4; StartTime=(Get-Date).AddMinutes(-5)} | Export-Csv C:\Logs\Event4_Monitor.csv -Append"
   $Trigger = New-ScheduledTaskTrigger -Once -At (Get-Date) -RepetitionInterval (New-TimeSpan -Minutes 5) -RepetitionDuration (New-TimeSpan -Days 365)
   Register-ScheduledTask -TaskName "Event4Monitor" -Action $Action -Trigger $Trigger -RunLevel Highest

2. Mettre en œuvre la surveillance des ressources système :

   Get-Counter "\Memory\Available MBytes","\Processor(_Total)\% Processor Time","\System\Processor Queue Length" -Continuous -SampleInterval 30

3. Configurer le rapport d'erreurs Windows pour une analyse détaillée des plantages :

   Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\Windows Error Reporting" -Name "Disabled" -Value 0
   Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\Windows Error Reporting\LocalDumps" -Name "DumpType" -Value 2

4. Mettre en place une maintenance système automatisée :

   schtasks /change /tn "\Microsoft\Windows\TaskScheduler\Regular Maintenance" /enable
   schtasks /run /tn "\Microsoft\Windows\Defrag\ScheduledDefrag"

5. Créer des points de restauration système avant les changements majeurs :

   Enable-ComputerRestore -Drive "C:\"
   Checkpoint-Computer -Description "Pre-Event4-Investigation" -RestorePointType "MODIFY_SETTINGS"

6. Configurer des politiques d'audit avancées pour le suivi des processus :

   auditpol /set /subcategory:"Process Termination" /success:enable /failure:enable