ID d'événement Windows 8301 – Microsoft-Windows-Kernel-General : Notification de changement de l'heure système

Commencez par examiner les détails spécifiques de l'ID d'événement 8301 pour comprendre le contexte du changement d'heure.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Système
3. Filtrez pour l'ID d'événement 8301 en cliquant avec le bouton droit sur le journal Système et en sélectionnant Filtrer le journal actuel
4. Entrez 8301 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur les événements récents 8301 pour voir les détails, y compris l'heure ancienne, l'heure nouvelle et les informations sur le processus
6. Notez la fréquence et les modèles de synchronisation de ces événements

Utilisez PowerShell pour interroger plusieurs événements efficacement :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=8301} -MaxEvents 50 | Select-Object TimeCreated, Id, LevelDisplayName, Message | Format-Table -AutoSize

Vérifiez les paramètres du service de temps Windows pour déterminer si la synchronisation automatique provoque les changements d'heure.

1. Ouvrez l'invite de commande en tant qu'administrateur
2. Vérifiez la configuration actuelle du service de temps :

w32tm /query /configuration

3. Examinez la source de temps et les paramètres de synchronisation :

w32tm /query /source
w32tm /query /status

4. Vérifiez les journaux d'événements du service de temps :

Get-WinEvent -LogName 'System' -FilterXPath "*[System[Provider[@Name='Microsoft-Windows-Time-Service']]]" -MaxEvents 20

5. Pour les ordinateurs joints à un domaine, vérifiez la synchronisation de l'heure du contrôleur de domaine :

w32tm /monitor /domain

Identifiez quels processus modifient l'heure du système pour distinguer entre une activité légitime et suspecte.

1. Utilisez PowerShell pour extraire des informations détaillées sur les événements :

$Events = Get-WinEvent -FilterHashtable @{LogName='System'; Id=8301} -MaxEvents 20
foreach ($Event in $Events) {
    $XML = [xml]$Event.ToXml()
    $ProcessId = $XML.Event.EventData.Data | Where-Object {$_.Name -eq 'ProcessId'} | Select-Object -ExpandProperty '#text'
    Write-Host "Time: $($Event.TimeCreated) - Process ID: $ProcessId"
}

2. Recoupez les identifiants de processus avec les processus en cours d'exécution :

Get-Process | Where-Object {$_.Id -in @(ProcessIdsFromEvents)} | Select-Object Id, ProcessName, Path

3. Vérifiez les processus suspects ou les manipulations de temps inattendues :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4616} -MaxEvents 10 | Format-Table TimeCreated, Id, Message -Wrap

4. Examinez les événements de démarrage du système pour les corréler avec les changements de temps :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=@(6005,6006,6009)} -MaxEvents 10

Mettre en œuvre une surveillance complète pour suivre et alerter sur les changements d'heure suspects.

1. Activer l'audit avancé des changements d'heure via la stratégie de groupe ou le registre :

Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Lsa' -Name 'AuditBaseObjects' -Value 1 -Type DWord

2. Créer un script PowerShell pour une surveillance continue :

# TimeChangeMonitor.ps1
$LastCheck = (Get-Date).AddHours(-1)
while ($true) {
    $NewEvents = Get-WinEvent -FilterHashtable @{LogName='System'; Id=8301; StartTime=$LastCheck}
    if ($NewEvents) {
        foreach ($Event in $NewEvents) {
            Write-Warning "Changement d'heure détecté à $($Event.TimeCreated)"
            # Ajouter la logique d'alerte ici
        }
    }
    $LastCheck = Get-Date
    Start-Sleep -Seconds 300
}

3. Configurer le transfert des événements Windows pour une surveillance centralisée :

wecutil qc /q
wecutil cs TimeChangeSubscription.xml

4. Configurer l'intégration SIEM en utilisant le transfert du journal des événements Windows ou des agents
5. Créer des vues de journal d'événements personnalisées pour l'analyse des changements d'heure :

<QueryList>
  <Query Id="0" Path="System">
    <Select Path="System">*[System[EventID=8301]]</Select>
  </Query>
</QueryList>

Effectuer une analyse de sécurité complète lorsque des changements d'heure suspects sont détectés.

1. Vérifiez la corrélation avec d'autres événements de sécurité :

# Rechercher des événements de connexion autour des changements d'heure
$TimeChangeEvents = Get-WinEvent -FilterHashtable @{LogName='System'; Id=8301} -MaxEvents 5
foreach ($Event in $TimeChangeEvents) {
    $StartTime = $Event.TimeCreated.AddMinutes(-10)
    $EndTime = $Event.TimeCreated.AddMinutes(10)
    $SecurityEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=@(4624,4625,4648); StartTime=$StartTime; EndTime=$EndTime}
    Write-Host "Changement d'heure à $($Event.TimeCreated) - Événements de sécurité liés : $($SecurityEvents.Count)"
}

2. Analyser la validation des certificats et les problèmes de tickets Kerberos :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=@(40960,40961)} -MaxEvents 10

3. Examiner les horodatages du système de fichiers pour détecter des manipulations :

Get-ChildItem C:\Windows\System32 -File | Where-Object {$_.LastWriteTime -gt (Get-Date).AddDays(-1)} | Sort-Object LastWriteTime -Descending

4. Mettre en œuvre des restrictions de changement d'heure via la stratégie de groupe :
5. Accédez à Configuration de l'ordinateur → Paramètres Windows → Paramètres de sécurité → Politiques locales → Attribution des droits utilisateur
6. Modifier la politique Changer l'heure du système pour restreindre l'accès
7. Activer Auditer les événements système dans Stratégie d'audit

5. Déployer le renforcement de la synchronisation de l'heure :

w32tm /config /manualpeerlist:"time.nist.gov,0x1" /syncfromflags:manual /reliable:yes /update