ID d'événement Windows 6006 – EventLog : Service du journal des événements arrêté

Naviguez vers le Visualiseur d'événements pour analyser les modèles d'arrêt et vérifier le comportement normal du service EventLog.

1. Ouvrez Visualiseur d'événements en appuyant sur Windows + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Naviguez vers Journaux Windows → Système
3. Filtrez les événements en cliquant sur Filtrer le journal actuel dans le volet Actions
4. Entrez l'ID d'événement 6006 dans le champ ID d'événements et cliquez sur OK
5. Examinez les horodatages pour identifier les modèles et la fréquence des arrêts
6. Vérifiez les entrées correspondantes de l'ID d'événement 6005 après chaque 6006 pour confirmer les redémarrages normaux du service

Interroger les occurrences de l'ID d'événement 6006 à l'aide de PowerShell pour une analyse et un rapport détaillés.

1. Ouvrez PowerShell en tant qu'administrateur
2. Exécutez la commande suivante pour récupérer les entrées récentes de l'ID d'événement 6006 :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=6006} -MaxEvents 20 | Format-Table TimeCreated, Id, LevelDisplayName, Message -AutoSize

3. Pour une analyse plus détaillée, exportez les résultats vers un fichier CSV :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=6006} -MaxEvents 100 | Select-Object TimeCreated, Id, LevelDisplayName, Message | Export-Csv -Path "C:\Temp\EventID6006.csv" -NoTypeInformation

4. Analysez la fréquence des arrêts avec cette commande :

$Events = Get-WinEvent -FilterHashtable @{LogName='System'; Id=6006} -MaxEvents 50
$Events | Group-Object {$_.TimeCreated.Date} | Sort-Object Name | Format-Table Name, Count

Vérifiez la configuration du service EventLog et surveillez son état opérationnel pour garantir une fonctionnalité de journalisation appropriée.

1. Vérifiez l'état du service EventLog à l'aide de PowerShell :

Get-Service -Name EventLog | Format-List Name, Status, StartType, ServiceType

2. Consultez la configuration détaillée du service :

Get-WmiObject -Class Win32_Service -Filter "Name='EventLog'" | Format-List Name, State, StartMode, PathName, ProcessId

3. Surveillez les dépendances du service :

Get-Service -Name EventLog -DependentServices
Get-Service -Name EventLog -RequiredServices

4. Vérifiez la configuration du registre du service EventLog à :
5. HKLM\SYSTEM\CurrentControlSet\Services\EventLog
6. Vérifiez que la valeur Start est définie sur 2 (démarrage automatique)

Analysez l'ID d'événement 6006 dans le contexte d'autres événements liés à l'arrêt pour comprendre les modèles de comportement du système.

1. Interrogez plusieurs événements liés à l'arrêt simultanément :

$ShutdownEvents = @(1074, 1076, 6005, 6006, 6008, 6009)
Get-WinEvent -FilterHashtable @{LogName='System'; Id=$ShutdownEvents} -MaxEvents 50 | Sort-Object TimeCreated -Descending | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

2. Créez un rapport d'analyse d'arrêt complet :

$StartDate = (Get-Date).AddDays(-30)
$Events = Get-WinEvent -FilterHashtable @{LogName='System'; Id=@(1074,6006,6008); StartTime=$StartDate}
$GroupedEvents = $Events | Group-Object Id
foreach ($Group in $GroupedEvents) {
    Write-Host "Event ID $($Group.Name): $($Group.Count) occurrences"
}

3. Identifiez les arrêts inattendus en trouvant l'ID d'événement 6008 (arrêt inattendu) sans précédent 6006 :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=6008} -MaxEvents 10 | Format-Table TimeCreated, Message -Wrap

4. Générez une chronologie des événements d'arrêt pour la semaine passée :

$LastWeek = (Get-Date).AddDays(-7)
Get-WinEvent -FilterHashtable @{LogName='System'; Id=@(6005,6006); StartTime=$LastWeek} | Sort-Object TimeCreated | Format-Table TimeCreated, Id, Message

Effectuez des diagnostics avancés lorsque les modèles d'ID d'événement 6006 indiquent des problèmes potentiels avec le service EventLog.

1. Activez la journalisation de débogage du service EventLog en modifiant le registre :

New-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\EventLog\Parameters" -Name "Debug" -Value 1 -PropertyType DWORD -Force

2. Vérifiez l'utilisation de la mémoire et les performances du service EventLog :

Get-Process -Name "svchost" | Where-Object {$_.Modules.ModuleName -contains "wevtsvc.dll"} | Format-List ProcessName, Id, WorkingSet, PagedMemorySize

3. Analysez les vidages sur incident du service EventLog si disponibles :
4. Accédez à %SystemRoot%\Minidump ou %SystemRoot%\MEMORY.DMP
5. Utilisez les outils de débogage Windows pour analyser les fichiers de vidage pour les problèmes du service EventLog
6. Vérifiez l'intégrité des fichiers de journal des événements :

$LogFiles = Get-ChildItem "$env:SystemRoot\System32\winevt\Logs" -Filter "*.evtx"
foreach ($Log in $LogFiles) {
    try {
        $Events = Get-WinEvent -Path $Log.FullName -MaxEvents 1 -ErrorAction Stop
        Write-Host "$($Log.Name): OK" -ForegroundColor Green
    } catch {
        Write-Host "$($Log.Name): CORRUPTED" -ForegroundColor Red
    }
}

5. Réinitialisez la configuration du service EventLog si une corruption est détectée :

Stop-Service -Name EventLog -Force
Start-Service -Name EventLog