ID d'événement Windows 4113 – Microsoft-Windows-Kernel-General : Heure du système modifiée

Commencez par examiner les détails spécifiques de l'ID d'événement 4113 pour comprendre ce qui a déclenché le changement d'heure.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Système
3. Filtrez le journal en cliquant sur Filtrer le journal actuel dans le volet Actions
4. Entrez 4113 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur les entrées récentes de l'ID d'événement 4113 pour voir des informations détaillées
6. Notez les valeurs Ancienne heure et Nouvelle heure dans la description de l'événement
7. Vérifiez l'ID de processus pour identifier quel processus a initié le changement

Utilisez PowerShell pour interroger plusieurs événements efficacement :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=4113} -MaxEvents 20 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

Déterminez quel processus ou service a initié le changement d'heure pour comprendre s'il était légitime ou potentiellement malveillant.

1. À partir des détails de l'ID d'événement 4113, notez l'ID de processus (PID) mentionné dans l'événement
2. Recoupez cela avec d'autres événements système autour de la même heure
3. Utilisez PowerShell pour corréler les informations du processus :

# Obtenez les événements récents de changement d'heure avec les détails du processus
Get-WinEvent -FilterHashtable @{LogName='System'; Id=4113} -MaxEvents 10 | ForEach-Object {
    $timeChanged = $_.TimeCreated
    $message = $_.Message
    Write-Output "Time: $timeChanged"
    Write-Output "Details: $message"
    Write-Output "---"
}

4. Vérifiez si le changement a été effectué par svchost.exe (service de temps Windows) ou explorer.exe (action utilisateur)
5. Examinez le journal de sécurité pour l'ID d'événement 4616 (L'heure système a été modifiée) pour un contexte supplémentaire
6. Vérifiez le compte utilisateur associé aux changements d'heure manuels

Examinez la configuration du service de temps Windows pour assurer une synchronisation correcte de l'heure et identifier les problèmes potentiels.

1. Vérifiez la configuration actuelle du service de temps :

# Afficher la configuration actuelle de W32Time
w32tm /query /configuration

# Afficher le statut du service de temps
w32tm /query /status

# Afficher les sources de temps configurées
w32tm /query /peers

2. Examinez les paramètres du registre du service de temps à HKLM\SYSTEM\CurrentControlSet\Services\W32Time
3. Vérifiez le Visualiseur d'événements pour les événements du service W32Time :

# Interroger les événements du service W32Time
Get-WinEvent -FilterHashtable @{LogName='System'; ProviderName='Microsoft-Windows-Time-Service'} -MaxEvents 50

4. Vérifiez la connectivité et les temps de réponse du serveur NTP :

# Tester la connectivité du serveur de temps
w32tm /stripchart /computer:time.windows.com /samples:5

# Forcer la synchronisation immédiate de l'heure
w32tm /resync /force

5. Pour les ordinateurs joints à un domaine, assurez-vous de la hiérarchie correcte de l'heure avec les contrôleurs de domaine

Configurez une surveillance automatisée pour suivre et alerter sur les changements de temps inattendus à des fins de sécurité et de conformité.

1. Créez un script PowerShell pour surveiller l'ID d'événement 4113 en temps réel :

# Surveiller les événements de changement de temps
$action = {
    $event = $Event.SourceEventArgs.NewEvent
    $timeChanged = $event.TimeCreated
    $message = $event.Message
    
    # Enregistrer dans un fichier personnalisé
    "$timeChanged - Changement de temps détecté : $message" | Out-File -Append C:\Logs\TimeChanges.log
    
    # Envoyer une alerte si le changement est significatif (plus d'une minute)
    if ($message -match "Old Time: (.+?) New Time: (.+?)") {
        $oldTime = [DateTime]::Parse($matches[1])
        $newTime = [DateTime]::Parse($matches[2])
        $diff = [Math]::Abs(($newTime - $oldTime).TotalMinutes)
        
        if ($diff -gt 1) {
            Write-EventLog -LogName Application -Source "TimeMonitor" -EventId 1001 -Message "Changement de temps significatif détecté : $diff minutes"
        }
    }
}

# Enregistrer le surveillant d'événements
Register-WmiEvent -Query "SELECT * FROM Win32_NTLogEvent WHERE LogFile='System' AND EventCode=4113" -Action $action

2. Créez une tâche planifiée pour exécuter le script de surveillance au démarrage
3. Configurez le transfert d'événements Windows pour centraliser les événements de changement de temps de plusieurs systèmes
4. Configurez l'intégration SIEM pour corréler les changements de temps avec d'autres événements de sécurité

Utilisez la stratégie de groupe pour appliquer des politiques de synchronisation de l'heure et restreindre les modifications non autorisées de l'heure dans les environnements d'entreprise.

1. Ouvrez la Console de gestion des stratégies de groupe et modifiez le GPO approprié
2. Accédez à Configuration de l'ordinateur → Modèles d'administration → Système → Service de temps Windows
3. Configurez les politiques suivantes :
• Paramètres de configuration globale - Définir les sources de temps autoritaires
• Fournisseurs de temps - Configurer les paramètres du client NTP
• Configurer le client NTP Windows - Spécifier les serveurs de temps et les intervalles de mise à jour
4. Restreindre la capacité des utilisateurs à modifier l'heure système :

# Vérifier les privilèges actuels de modification de l'heure
secedit /export /cfg C:\temp\security.inf
Select-String "SeSystemtimePrivilege" C:\temp\security.inf

5. Accédez à Configuration de l'ordinateur → Paramètres Windows → Paramètres de sécurité → Politiques locales → Attribution des droits utilisateur
6. Modifiez la politique Modifier l'heure du système pour restreindre l'accès aux comptes autorisés uniquement
7. Activez la politique d'audit pour les modifications de l'heure :

# Activer l'audit des modifications de l'heure via la ligne de commande
auditpol /set /subcategory:"Security System Extension" /success:enable /failure:enable

8. Déployez le GPO et vérifiez les paramètres avec gpresult /r sur les systèmes cibles