ID d'événement Windows 1074 – User32 : Redémarrage ou arrêt du système initié

Accédez à l'Observateur d'événements pour examiner les détails spécifiques des occurrences de l'ID d'événement 1074.

1. Appuyez sur Windows + R, tapez eventvwr.msc, et appuyez sur Entrée
2. Accédez à Journaux Windows → Système
3. Dans le volet Actions, cliquez sur Filtrer le journal actuel
4. Entrez 1074 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur n'importe quelle entrée d'ID d'événement 1074 pour voir les détails
6. Examinez l'onglet Général pour les informations sur l'utilisateur, le processus et la raison
7. Vérifiez l'onglet Détails pour les données XML brutes incluant les codes de raison

La description de l'événement affichera le format : "Le processus [processus] a initié le [redémarrage/arrêt] de l'ordinateur [ordinateur] pour le compte de l'utilisateur [domaine\utilisateur] pour la raison suivante : [raison]"

PowerShell offre des capacités de filtrage puissantes pour analyser les modèles d'arrêt et extraire des informations spécifiques à partir de l'ID d'événement 1074.

1. Ouvrir PowerShell en tant qu'administrateur
2. Interroger les événements d'arrêt récents :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=1074} -MaxEvents 20 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

3. Filtrer par utilisateur spécifique ou plage de temps :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=1074; StartTime=(Get-Date).AddDays(-7)} | Where-Object {$_.Message -like "*username*"}

4. Extraire des données structurées des événements :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=1074} -MaxEvents 10 | ForEach-Object {
    $xml = [xml]$_.ToXml()
    [PSCustomObject]@{
        TimeCreated = $_.TimeCreated
        User = $xml.Event.EventData.Data[6].'#text'
        Process = $xml.Event.EventData.Data[0].'#text'
        Reason = $xml.Event.EventData.Data[2].'#text'
        ReasonCode = $xml.Event.EventData.Data[3].'#text'
    }
}

Comprendre les codes de raison d'arrêt aide à identifier la cause principale des redémarrages du système et à les catégoriser de manière appropriée.

1. Extraire les codes de raison des événements récents :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=1074} -MaxEvents 50 | ForEach-Object {
    $xml = [xml]$_.ToXml()
    $reasonCode = $xml.Event.EventData.Data[3].'#text'
    $reasonText = $xml.Event.EventData.Data[2].'#text'
    "$($_.TimeCreated): Code $reasonCode - $reasonText"
} | Group-Object | Sort-Object Count -Descending

2. Codes de raison courants à examiner :

• 0x80020002 : Arrêt inattendu (crash système ou perte de courant)
• 0x80020010 : Arrêt planifié pour maintenance matérielle
• 0x80020003 : Arrêt planifié pour installation logicielle
• 0x500ff : Redémarrage automatique de Windows Update
• 0x80000000 : Arrêt initié par l'utilisateur sans raison spécifique

3. Vérifier spécifiquement les arrêts non planifiés :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=1074} | Where-Object {
    $xml = [xml]$_.ToXml()
    $reasonCode = $xml.Event.EventData.Data[3].'#text'
    $reasonCode -match "0x8002000[2-9]|0x8004000[0-9]"
} | Format-Table TimeCreated, Message -Wrap

Activez le suivi amélioré de l'arrêt via les paramètres de stratégie de groupe ou du registre pour capturer des informations plus détaillées sur les événements d'arrêt.

1. Ouvrez l'Éditeur de stratégie de groupe (gpedit.msc) ou l'Éditeur du registre pour une configuration manuelle
2. Accédez au chemin de la stratégie de groupe :

Configuration de l'ordinateur → Modèles d'administration → Système → Options d'arrêt

3. Activez la stratégie "Afficher le suivi des événements d'arrêt"
4. Pour la configuration du registre, modifiez :

Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Reliability" -Name "ShutdownReasonUI" -Value 1 -Type DWord
Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Reliability" -Name "ShutdownReasonOn" -Value 1 -Type DWord

5. Configurez le suivi des raisons d'arrêt pour les serveurs :

New-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Reliability" -Name "ShutdownReasonUI" -Value 1 -PropertyType DWord -Force
New-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Reliability" -Name "ShutdownReasonOn" -Value 1 -PropertyType DWord -Force

6. Redémarrez le système pour que les modifications prennent effet
7. Vérifiez la configuration en vérifiant que les boîtes de dialogue d'arrêt demandent maintenant la sélection d'une raison

Configurez une surveillance automatisée pour suivre les modèles d'arrêt et alerter sur les activités de redémarrage suspectes ou inattendues.

1. Créez un script PowerShell pour une surveillance continue :

# Enregistrer sous Monitor-Shutdowns.ps1
$lastCheck = (Get-Date).AddHours(-1)
$events = Get-WinEvent -FilterHashtable @{LogName='System'; Id=1074; StartTime=$lastCheck}

foreach ($event in $events) {
    $xml = [xml]$event.ToXml()
    $user = $xml.Event.EventData.Data[6].'#text'
    $process = $xml.Event.EventData.Data[0].'#text'
    $reasonCode = $xml.Event.EventData.Data[3].'#text'
    
    # Alerter sur les arrêts inattendus
    if ($reasonCode -match "0x80020002|0x80040000") {
        Write-EventLog -LogName Application -Source "ShutdownMonitor" -EventId 9001 -EntryType Warning -Message "Arrêt inattendu détecté : Utilisateur=$user, Processus=$process, Raison=$reasonCode"
        # Envoyer un email ou une alerte SIEM ici
    }
}

2. Créez une tâche planifiée pour exécuter le script de surveillance :

$action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-File C:\Scripts\Monitor-Shutdowns.ps1"
$trigger = New-ScheduledTaskTrigger -Once -At (Get-Date) -RepetitionInterval (New-TimeSpan -Hours 1)
$principal = New-ScheduledTaskPrincipal -UserId "SYSTEM" -LogonType ServiceAccount
Register-ScheduledTask -TaskName "ShutdownMonitoring" -Action $action -Trigger $trigger -Principal $principal

3. Configurez le transfert d'événements Windows pour une collecte centralisée :

# Sur le serveur collecteur
wecutil qc /q
# Sur les ordinateurs sources
winrm qc /q
wecutil cs subscription.xml

4. Configurez une source de journal d'événements personnalisée pour les alertes de surveillance :

New-EventLog -LogName Application -Source "ShutdownMonitor"