ID d'événement Windows 6004 – EventLog : Service du journal des événements démarré

Vérifiez l'état actuel du service Journal des événements pour vous assurer qu'il fonctionne correctement :

1. Ouvrez la console Services en appuyant sur Win + R, en tapant services.msc, et en appuyant sur Entrée
2. Localisez le service Journal des événements Windows dans la liste
3. Vérifiez que l'état indique En cours d'exécution et que le type de démarrage est Automatique
4. Alternativement, utilisez PowerShell pour vérifier l'état du service :

Get-Service -Name "EventLog" | Select-Object Name, Status, StartType
Get-WinEvent -FilterHashtable @{LogName='System'; Id=6004} -MaxEvents 5 | Format-Table TimeCreated, Id, LevelDisplayName, Message

Si le service ne fonctionne pas, démarrez-le manuellement ou examinez pourquoi il n'a pas démarré automatiquement.

Examinez les dépendances de service pour comprendre l'ordre de démarrage et les problèmes potentiels :

1. Ouvrez l'invite de commande en tant qu'administrateur
2. Vérifiez les dépendances du service Event Log :

sc qc EventLog
sc enumdepend EventLog

3. Utilisez PowerShell pour obtenir des informations détaillées sur les dépendances :

Get-Service -Name "EventLog" -DependentServices
Get-Service -Name "EventLog" -RequiredServices

4. Examinez le registre pour la configuration du service :

Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\EventLog"

Cela aide à identifier si des problèmes de dépendance causent un démarrage retardé ou échoué du service Event Log.

Enquêter sur le timing de la séquence de démarrage pour identifier les retards ou problèmes potentiels :

1. Ouvrir Observateur d'événements → Journaux Windows → Système
2. Filtrer pour l'ID d'événement 6004 pour voir l'historique de démarrage du service de journalisation des événements :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=6004} -MaxEvents 20 | 
  Select-Object TimeCreated, @{Name='Message';Expression={$_.Message}} | 
  Format-Table -AutoSize

3. Comparer avec d'autres événements de démarrage de services critiques :

$StartTime = (Get-Date).AddDays(-7)
Get-WinEvent -FilterHashtable @{LogName='System'; Id=7036,6005,6004; StartTime=$StartTime} | 
  Sort-Object TimeCreated | 
  Select-Object TimeCreated, Id, LevelDisplayName, Message | 
  Format-Table -Wrap

4. Vérifier les échecs du service de journalisation des événements précédant les démarrages réussis :

Get-WinEvent -FilterHashtable @{LogName='System'; ProviderName='Service Control Manager'} -MaxEvents 50 | 
  Where-Object {$_.Message -like "*EventLog*"} | 
  Format-Table TimeCreated, Id, LevelDisplayName, Message

Configurez la surveillance pour suivre les performances du service Journal des événements et détecter les problèmes :

1. Créez un script de surveillance PowerShell personnalisé :

# Surveiller l'état de santé du service Journal des événements
$LogName = "System"
$EventID = 6004
$Hours = 24

$Events = Get-WinEvent -FilterHashtable @{
    LogName = $LogName
    Id = $EventID
    StartTime = (Get-Date).AddHours(-$Hours)
} -ErrorAction SilentlyContinue

if ($Events) {
    Write-Host "Le service Journal des événements a démarré $($Events.Count) fois au cours des dernières $Hours heures"
    $Events | Select-Object TimeCreated, Message | Format-Table
} else {
    Write-Warning "Aucun événement de démarrage du service Journal des événements trouvé au cours des dernières $Hours heures"
}

2. Vérifiez les compteurs de performance du service Journal des événements :

Get-Counter "\Process(services)\% Processor Time" -SampleInterval 5 -MaxSamples 3
Get-Counter "\Process(services)\Working Set" -SampleInterval 5 -MaxSamples 3

3. Vérifiez l'intégrité et l'espace du fichier journal :

Get-WinEvent -ListLog * | Where-Object {$_.RecordCount -gt 0} | 
  Select-Object LogName, RecordCount, FileSize, MaximumSizeInBytes | 
  Sort-Object FileSize -Descending | Format-Table

Effectuer une analyse approfondie de la configuration du service Journal des événements et des problèmes potentiels :

1. Examiner en détail la configuration du registre du service Journal des événements :

$EventLogKey = "HKLM:\SYSTEM\CurrentControlSet\Services\EventLog"
Get-ChildItem $EventLogKey -Recurse | 
  ForEach-Object { 
    Write-Host "Key: $($_.Name)"
    Get-ItemProperty $_.PSPath -ErrorAction SilentlyContinue
  }

2. Vérifier les plantages ou échecs du service Journal des événements :

# Rechercher les échecs de service
Get-WinEvent -FilterHashtable @{LogName='System'; Id=7034,7031,7032} -MaxEvents 50 | 
  Where-Object {$_.Message -like "*EventLog*" -or $_.Message -like "*Event Log*"} | 
  Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

# Vérifier le journal des événements d'application pour les problèmes du service EventLog
Get-WinEvent -FilterHashtable @{LogName='Application'; ProviderName='EventLog'} -MaxEvents 20 -ErrorAction SilentlyContinue

3. Analyser l'intégrité des fichiers système liés au service Journal des événements :

sfc /scannow
Dism /Online /Cleanup-Image /CheckHealth

4. Créer un rapport complet du service Journal des événements :

$Report = @{
    ServiceStatus = Get-Service -Name "EventLog"
    RecentStarts = Get-WinEvent -FilterHashtable @{LogName='System'; Id=6004} -MaxEvents 10 -ErrorAction SilentlyContinue
    ServiceConfig = Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\EventLog"
    LogSizes = Get-WinEvent -ListLog * | Where-Object {$_.RecordCount -gt 0} | Select-Object LogName, RecordCount, FileSize
}
$Report | ConvertTo-Json -Depth 3