ID d'événement Windows 8197 – Microsoft-Windows-Kernel-General : Changement de l'heure système détecté

Commencez par examiner les détails spécifiques de l'ID d'événement 8197 pour comprendre la nature du changement d'heure :

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Système
3. Filtrez pour l'ID d'événement 8197 en cliquant avec le bouton droit sur le journal Système et en sélectionnant Filtrer le journal actuel
4. Entrez 8197 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur les entrées récentes de l'ID d'événement 8197 pour voir des informations détaillées
6. Notez les valeurs Ancien temps, Nouveau temps, et ID de processus dans la description de l'événement
7. Vérifiez l'onglet Général pour les informations de l'horodatage et l'onglet Détails pour les données XML

Utilisez PowerShell pour une analyse plus détaillée :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=8197} -MaxEvents 20 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

Utilisez PowerShell pour identifier les motifs dans les changements de temps et les corréler avec d'autres événements système :

1. Extraire des informations détaillées sur les changements de temps :

$TimeChangeEvents = Get-WinEvent -FilterHashtable @{LogName='System'; Id=8197} -MaxEvents 50
$TimeChangeEvents | ForEach-Object {
    $EventXML = [xml]$_.ToXml()
    [PSCustomObject]@{
        TimeCreated = $_.TimeCreated
        OldTime = $EventXML.Event.EventData.Data[0].'#text'
        NewTime = $EventXML.Event.EventData.Data[1].'#text'
        ProcessId = $EventXML.Event.EventData.Data[2].'#text'
    }
} | Format-Table -AutoSize

2. Vérifiez la corrélation avec les événements du service de temps Windows :

Get-WinEvent -FilterHashtable @{LogName='System'; ProviderName='Microsoft-Windows-Time-Service'} -MaxEvents 10

3. Identifiez le processus responsable des changements de temps :

$ProcessId = 1234  # Remplacez par l'ID de processus réel de l'événement
Get-Process -Id $ProcessId -ErrorAction SilentlyContinue

Examinez les paramètres du service de temps Windows pour comprendre le comportement de la synchronisation automatique de l'heure :

1. Vérifiez la configuration actuelle du service de temps :

w32tm /query /configuration
w32tm /query /status

2. Examinez les paramètres du registre du service de temps :

Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\W32Time\Config"
Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\W32Time\Parameters"

3. Vérifiez la configuration du serveur NTP :

w32tm /query /peers
w32tm /query /source

4. Examinez les journaux d'événements du service de temps :

Get-WinEvent -FilterHashtable @{LogName='System'; ProviderName='Microsoft-Windows-Time-Service'} | Select-Object TimeCreated, Id, LevelDisplayName, Message

5. Testez la synchronisation de l'heure manuellement :

w32tm /resync /rediscover

Implémentez une surveillance complète des changements de temps pour améliorer l'audit de sécurité :

1. Activez les politiques d'audit avancées pour les changements de temps :

auditpol /set /subcategory:"System Integrity" /success:enable /failure:enable

2. Créez une vue personnalisée dans le Visualiseur d'événements pour les événements liés au temps :

Dans le Visualiseur d'événements, cliquez avec le bouton droit sur Vues personnalisées → Créer une vue personnalisée :

• Définissez le Niveau d'événement sur Information, Avertissement, Erreur
• Définissez les ID d'événement sur : 8197, 1, 35, 37, 129, 131
• Définissez les Sources d'événement sur : Microsoft-Windows-Kernel-General, Microsoft-Windows-Time-Service

3. Configurez le script de surveillance PowerShell :

Register-WmiEvent -Query "SELECT * FROM Win32_VolumeChangeEvent" -Action {
    $Event = Get-WinEvent -FilterHashtable @{LogName='System'; Id=8197} -MaxEvents 1
    if ($Event) {
        Write-Host "Changement de temps détecté à $($Event.TimeCreated)"
        # Ajoutez ici la logique de notification
    }
}

4. Configurez la stratégie de groupe pour la synchronisation du temps (environnements de domaine) :

Accédez à Configuration de l'ordinateur\Modèles d'administration\Système\Service de temps Windows\Fournisseurs de temps et configurez :

• Configurer le client NTP Windows : Activé
• Activer le client NTP Windows : Activé
• Activer le serveur NTP Windows : Selon les besoins

Effectuer une analyse de sécurité complète pour identifier une manipulation temporelle malveillante potentielle :

1. Corréler les changements de temps avec les événements de sécurité :

$StartTime = (Get-Date).AddHours(-24)
$SecurityEvents = Get-WinEvent -FilterHashtable @{
    LogName='Security'
    StartTime=$StartTime
    Id=4624,4625,4648,4672
}
$TimeEvents = Get-WinEvent -FilterHashtable @{
    LogName='System'
    StartTime=$StartTime
    Id=8197
}

# Comparer les horodatages pour des motifs suspects
$TimeEvents | ForEach-Object {
    $TimeChange = $_.TimeCreated
    $NearbySecEvents = $SecurityEvents | Where-Object {
        [Math]::Abs(($_.TimeCreated - $TimeChange).TotalMinutes) -lt 5
    }
    if ($NearbySecEvents) {
        Write-Host "Corrélation potentielle trouvée à $TimeChange"
        $NearbySecEvents | Format-Table TimeCreated, Id, Message
    }
}

2. Vérifier les outils de manipulation temporelle non autorisés :

Get-Process | Where-Object {$_.ProcessName -match "time|clock|sync"} | Select-Object Name, Id, StartTime, Path
Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-Sysmon/Operational'; Id=1} | Where-Object {$_.Message -match "time|clock"}

3. Analyser l'exécution des processus autour des changements de temps :

$TimeChangeEvents = Get-WinEvent -FilterHashtable @{LogName='System'; Id=8197} -MaxEvents 10
foreach ($Event in $TimeChangeEvents) {
    $EventTime = $Event.TimeCreated
    $ProcessEvents = Get-WinEvent -FilterHashtable @{
        LogName='Security'
        Id=4688
        StartTime=$EventTime.AddMinutes(-2)
        EndTime=$EventTime.AddMinutes(2)
    } -ErrorAction SilentlyContinue
    
    if ($ProcessEvents) {
        Write-Host "Activité de processus autour du changement de temps à $EventTime :"
        $ProcessEvents | Select-Object TimeCreated, @{n='ProcessName';e={($_.Message -split '\n' | Select-String 'New Process Name').ToString().Split(':')[1].Trim()}}
    }
}