ID d'événement Windows 4004 – WinLogon : Initialisation du processus de connexion interactive

Commencez par examiner les détails complets de l'événement pour comprendre le contexte et le timing de l'initialisation de WinLogon.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Système
3. Filtrez le journal en cliquant sur Filtrer le journal actuel dans le volet Actions
4. Entrez 4004 dans le champ ID d'événement et cliquez sur OK
5. Double-cliquez sur l'ID d'événement 4004 le plus récent pour voir les informations détaillées
6. Vérifiez l'onglet Général pour l'horodatage exact et toute donnée supplémentaire
7. Consultez l'onglet Détails pour les données XML qui peuvent contenir des informations sur le processus

Utilisez PowerShell pour interroger plusieurs instances :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=4004} -MaxEvents 20 | Format-Table TimeCreated, Id, LevelDisplayName, Message -AutoSize

Examinez la relation entre l'initialisation de WinLogon et la performance globale du démarrage du système pour identifier les goulets d'étranglement potentiels.

1. Utilisez PowerShell pour corréler l'ID d'événement 4004 avec les événements de démarrage du système :

# Obtenez les événements de démarrage récents, y compris l'initialisation de WinLogon
$BootEvents = Get-WinEvent -FilterHashtable @{LogName='System'; Id=@(6005,6006,6009,4004)} -MaxEvents 50
$BootEvents | Sort-Object TimeCreated | Format-Table TimeCreated, Id, LevelDisplayName, Message -AutoSize

2. Vérifiez la performance de démarrage de Windows avec les diagnostics intégrés :

# Analysez les données de performance de démarrage
Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-Diagnostics-Performance/Operational'; Id=100} -MaxEvents 5

3. Examinez les programmes de démarrage qui pourraient retarder l'initialisation de WinLogon :

# Vérifiez les programmes de démarrage
Get-CimInstance Win32_StartupCommand | Select-Object Name, Command, Location, User

Vérifiez que le service WinLogon et les composants d'authentification associés sont configurés correctement pour des performances optimales.

1. Vérifiez l'état et la configuration du service WinLogon :

# Vérifiez les services de connexion critiques
$Services = @('Winlogon', 'LSASS', 'SamSs', 'LanmanServer', 'LanmanWorkstation')
foreach ($Service in $Services) {
    Get-Service -Name $Service -ErrorAction SilentlyContinue | Select-Object Name, Status, StartType
}

2. Examinez la configuration du registre WinLogon :

# Vérifiez les paramètres du registre WinLogon
Get-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" | Select-Object Shell, Userinit, VMApplet

3. Vérifiez la configuration du package d'authentification :

# Vérifiez les packages d'authentification chargés
Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "Authentication Packages"

4. Examinez les paramètres de stratégie de groupe affectant la connexion :

# Vérifiez les paramètres de stratégie de groupe pertinents
Get-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" | Select-Object DisableCAD, DontDisplayLastUserName, LegalNoticeCaption

Mettre en œuvre une surveillance complète du sous-système d'authentification pour identifier de manière proactive les problèmes pouvant affecter l'initialisation de WinLogon.

1. Créer un script PowerShell pour surveiller les événements d'authentification :

# Surveiller les événements du sous-système d'authentification
$AuthEvents = @(4004, 4005, 4634, 4624, 4625)
$Events = Get-WinEvent -FilterHashtable @{LogName=@('System','Security'); Id=$AuthEvents; StartTime=(Get-Date).AddHours(-24)}
$Events | Group-Object Id | Select-Object Name, Count | Sort-Object Name

2. Configurer la surveillance des compteurs de performance pour la performance de connexion :

# Surveiller les compteurs de performance de connexion
$Counters = @(
    '\LogicalDisk(C:)\Avg. Disk Queue Length',
    '\Memory\Available MBytes',
    '\Processor(_Total)\% Processor Time'
)
Get-Counter -Counter $Counters -SampleInterval 5 -MaxSamples 12

3. Vérifier les erreurs liées à l'authentification dans le journal des applications :

# Rechercher les erreurs d'authentification
Get-WinEvent -FilterHashtable @{LogName='Application'; Level=2; StartTime=(Get-Date).AddDays(-7)} | Where-Object {$_.ProviderName -like '*Auth*' -or $_.Message -like '*logon*'} | Select-Object TimeCreated, Id, ProviderName, LevelDisplayName

4. Vérifier la connectivité au domaine pour les systèmes joints au domaine :

# Tester la connectivité au contrôleur de domaine
Test-ComputerSecureChannel -Verbose
nltest /dsgetdc:$env:USERDOMAIN

Utilisez des outils de diagnostic avancés pour effectuer une analyse approfondie de l'initialisation de WinLogon lorsque les méthodes standard ne révèlent pas la cause des problèmes.

1. Activez la journalisation détaillée de WinLogon via la modification du registre :

# Activer la journalisation détaillée de WinLogon (nécessite un redémarrage)
Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" -Name "EnableVerboseStatus" -Value 1 -Type DWord
Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" -Name "VerboseStatus" -Value 1 -Type DWord

2. Utilisez Windows Performance Toolkit pour l'analyse de la trace de démarrage :

# Démarrer la trace de démarrage (exécuter en tant qu'administrateur)
wpr -start GeneralProfile -start CPU -start DiskIO
# Après le redémarrage, arrêter la trace
wpr -stop C:\BootTrace.etl

3. Configurez Event Tracing for Windows (ETW) pour une surveillance détaillée de l'authentification :

# Créer une session ETW pour les événements d'authentification
$SessionName = "AuthTrace"
logman create trace $SessionName -p "Microsoft-Windows-Winlogon" 0xFFFFFFFF 0xFF -o C:\AuthTrace.etl -ets
# Arrêter la trace après la collecte des données
logman stop $SessionName -ets

4. Analysez l'intégrité des fichiers système qui pourraient affecter WinLogon :

# Vérifier l'intégrité des fichiers système
sfc /scannow
Dism /Online /Cleanup-Image /CheckHealth
Dism /Online /Cleanup-Image /ScanHealth

5. Examinez le journal de sécurité de Windows pour un flux d'authentification détaillé :

# Analyser les événements de sécurité autour de l'initialisation de WinLogon
$SecurityEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=@(4608,4609,4610,4611); StartTime=(Get-Date).AddDays(-1)}
$SecurityEvents | Format-Table TimeCreated, Id, Message -AutoSize