ID d'événement Windows 4097 – Microsoft-Windows-Kernel-General : Changement de l'heure système détecté

Accédez à l'Observateur d'événements pour examiner les détails spécifiques du changement d'heure et identifier le processus source.

1. Appuyez sur Windows + R, tapez eventvwr.msc, et appuyez sur Entrée
2. Accédez à Journaux Windows → Système
3. Filtrez le journal en cliquant sur Filtrer le journal actuel dans le volet Actions
4. Entrez 4097 dans le champ ID d'événement et cliquez sur OK
5. Double-cliquez sur l'entrée la plus récente de l'ID d'événement 4097
6. Examinez l'onglet Général pour l'heure précédente, la nouvelle heure et les informations sur le processus
7. Vérifiez l'onglet Détails pour des données XML supplémentaires, y compris l'ID du processus
8. Notez l'ampleur de la différence de temps pour déterminer si le changement était significatif

Utilisez PowerShell pour récupérer et analyser les entrées d'ID d'événement 4097 pour les motifs et la fréquence.

1. Ouvrez PowerShell en tant qu'administrateur
2. Exécutez la commande suivante pour obtenir les événements de changement d'heure récents :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=4097} -MaxEvents 20 | Select-Object TimeCreated, Id, LevelDisplayName, Message | Format-Table -Wrap

3. Pour une analyse détaillée des changements d'heure au cours des dernières 24 heures :

$StartTime = (Get-Date).AddDays(-1)
Get-WinEvent -FilterHashtable @{LogName='System'; Id=4097; StartTime=$StartTime} | ForEach-Object {
    $Event = [xml]$_.ToXml()
    [PSCustomObject]@{
        TimeCreated = $_.TimeCreated
        PreviousTime = $Event.Event.EventData.Data[0].'#text'
        NewTime = $Event.Event.EventData.Data[1].'#text'
        ProcessId = $Event.Event.EventData.Data[2].'#text'
    }
} | Format-Table -AutoSize

4. Exportez les résultats au format CSV pour une analyse plus approfondie :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=4097} -MaxEvents 100 | Export-Csv -Path "C:\Temp\TimeChanges.csv" -NoTypeInformation

Examinez les paramètres du service de temps Windows pour comprendre le comportement de la synchronisation automatique de l'heure.

1. Vérifiez l'état actuel du service de temps :

w32tm /query /status /verbose

2. Examinez la configuration du service de temps :

w32tm /query /configuration

3. Vérifiez les sources de synchronisation de l'heure :

w32tm /query /peers

4. Examinez les paramètres du registre pour le service de temps :

Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\W32Time\Parameters"

5. Pour les membres du domaine, vérifiez la hiérarchie du domaine :

w32tm /query /source

6. Testez la synchronisation de l'heure manuellement :

w32tm /resync /rediscover

Identifier les processus spécifiques responsables des changements d'heure en utilisant la corrélation avancée des événements.

1. Créer un script PowerShell pour surveiller les changements d'heure avec les détails des processus :

$Query = @"

  
    *[System[EventID=4097]]
  

"@

Register-WmiEvent -Query "SELECT * FROM Win32_VolumeChangeEvent" -Action {
    Get-WinEvent -FilterXml $Query -MaxEvents 1 | ForEach-Object {
        $Event = [xml]$_.ToXml()
        $ProcessId = $Event.Event.EventData.Data[2].'#text'
        $Process = Get-Process -Id $ProcessId -ErrorAction SilentlyContinue
        Write-Host "Heure modifiée par le processus : $($Process.ProcessName) (PID : $ProcessId)"
    }
}

2. Vérifier les processus courants modifiant l'heure :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=4097} -MaxEvents 50 | ForEach-Object {
    $Event = [xml]$_.ToXml()
    $ProcessId = $Event.Event.EventData.Data[2].'#text'
    try {
        $Process = Get-Process -Id $ProcessId -ErrorAction Stop
        $Process.ProcessName
    } catch {
        "Processus $ProcessId (ne fonctionne plus)"
    }
} | Group-Object | Sort-Object Count -Descending

3. Enquêter sur les processus suspects en vérifiant leurs emplacements de fichiers :

Get-Process | Where-Object {$_.ProcessName -match "time|clock|sync"} | Select-Object ProcessName, Id, Path, StartTime

Mettre en œuvre une surveillance et une alerte améliorées pour les changements d'heure non autorisés.

1. Activer la journalisation détaillée du service de temps dans le registre :

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\W32Time\Config" -Name "EventLogFlags" -Value 3 -Type DWord

2. Créer une tâche planifiée pour surveiller les changements d'heure :

$Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-Command Get-WinEvent -FilterHashtable @{LogName='System'; Id=4097} -MaxEvents 1 | Out-File C:\Logs\TimeChange.log -Append"
$Trigger = New-ScheduledTaskTrigger -AtStartup
$Settings = New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries -DontStopIfGoingOnBatteries
Register-ScheduledTask -TaskName "TimeChangeMonitor" -Action $Action -Trigger $Trigger -Settings $Settings -RunLevel Highest

3. Configurer une vue personnalisée dans le Visualiseur d'événements pour les changements d'heure :

<QueryList>
  <Query Id="0" Path="System">
    <Select Path="System">*[System[EventID=4097]]</Select>
  </Query>
</QueryList>

4. Configurer la stratégie de groupe pour les restrictions de changement d'heure (environnements de domaine) :
5. Accéder à Configuration de l'ordinateur\Paramètres Windows\Paramètres de sécurité\Stratégies locales\Attribution des droits utilisateur
6. Modifier la stratégie Modifier l'heure du système pour restreindre les utilisateurs non autorisés
7. Appliquer la stratégie et exécuter gpupdate /force sur les systèmes cibles