ID d'événement Windows 1085 – EventLog : Sauvegarde automatique du service de journal des événements

Commencez par examiner l'entrée spécifique de l'ID d'événement 1085 pour comprendre quel journal a été sauvegardé et quand.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Système
3. Filtrez le journal actuel en cliquant sur Filtrer le journal actuel dans le volet Actions
4. Entrez 1085 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur l'entrée la plus récente de l'ID d'événement 1085 pour voir les détails
6. Notez le nom du journal et le chemin du fichier de sauvegarde indiqués dans la description de l'événement
7. Vérifiez l'emplacement du fichier de sauvegarde, généralement C:\Windows\System32\winevt\Logs\Archive-[LogName]-[Timestamp].evtx

Utilisez PowerShell pour obtenir des informations détaillées sur les événements de sauvegarde récents :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=1085} -MaxEvents 10 | Select-Object TimeCreated, Id, LevelDisplayName, Message | Format-Table -Wrap

Examinez les paramètres actuels de taille de journal et modifiez-les si les sauvegardes se produisent trop fréquemment.

1. Ouvrez Observateur d'événements et accédez au journal mentionné dans le message de l'ID d'événement 1085
2. Cliquez avec le bouton droit sur le nom du journal et sélectionnez Propriétés
3. Examinez le paramètre Taille maximale du journal (Ko)
4. Vérifiez l'option actuelle Lorsque la taille maximale du journal d'événements est atteinte
5. Pour augmenter la taille du journal, modifiez la valeur (recommandé : 20480 Ko pour les journaux Application/Système)
6. Envisagez de changer la politique de rétention en Écraser les événements si nécessaire si les données historiques ne sont pas critiques

Utilisez PowerShell pour vérifier les configurations de journal sur plusieurs journaux :

Get-WinEvent -ListLog * | Where-Object {$_.RecordCount -gt 0} | Select-Object LogName, MaximumSizeInBytes, LogMode | Sort-Object LogName

Modifiez la taille du journal par programmation :

# Définir le journal Application à 50 Mo
Limit-EventLog -LogName Application -MaximumSize 52428800

# Vérifier les paramètres actuels
Get-EventLog -List

Identifiez ce qui cause la croissance rapide des journaux pour traiter la cause profonde plutôt que de simplement gérer les symptômes.

1. Ouvrez le fichier journal sauvegardé mentionné dans l'ID d'événement 1085
2. Dans Observateur d'événements, cliquez sur Action → Ouvrir le journal enregistré
3. Parcourez l'emplacement du fichier de sauvegarde et ouvrez le fichier .evtx archivé
4. Analysez les sources d'événements et les modèles de fréquence
5. Cherchez des événements répétitifs ou une journalisation détaillée de certaines applications

Utilisez PowerShell pour analyser la fréquence des événements par source :

# Analyser les sources d'événements du journal des applications
Get-WinEvent -LogName Application -MaxEvents 10000 | Group-Object ProviderName | Sort-Object Count -Descending | Select-Object Name, Count

# Vérifier les événements à haute fréquence au cours des dernières 24 heures
$StartTime = (Get-Date).AddDays(-1)
Get-WinEvent -FilterHashtable @{LogName='Application'; StartTime=$StartTime} | Group-Object Id | Sort-Object Count -Descending | Select-Object Name, Count -First 10

Pour l'analyse du journal de sécurité :

# Identifier les principaux types d'événements de sécurité
Get-WinEvent -LogName Security -MaxEvents 5000 | Group-Object Id | Sort-Object Count -Descending | Select-Object Name, Count -First 15

Implémentez une gestion des journaux plus sophistiquée via la stratégie de groupe ou des modifications du registre.

1. Ouvrez l'Éditeur de stratégie de groupe en exécutant gpedit.msc
2. Accédez à Configuration de l'ordinateur → Modèles d'administration → Composants Windows → Service de journal des événements
3. Configurez les stratégies pour des journaux spécifiques dans le sous-dossier approprié (Application, Sécurité, Système)
4. Définissez les stratégies de Taille maximale du journal et de Méthode de rétention du journal
5. Activez Contrôler le comportement du journal des événements lorsque le fichier journal atteint sa taille maximale

Configuration basée sur le registre pour des scénarios avancés :

# Vérifiez les paramètres actuels du registre pour le journal des applications
Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\EventLog\Application" -Name MaxSize, Retention

# Définissez le journal des applications à 100 Mo avec une politique de réécriture
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\EventLog\Application" -Name MaxSize -Value 104857600
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\EventLog\Application" -Name Retention -Value 0

Configurez une rétention personnalisée pour des journaux spécifiques :

# Créez une politique de rétention personnalisée
$LogName = "Application"
wevtutil sl $LogName /ms:104857600 /rt:false

Déployez des solutions de niveau entreprise pour gérer les données de journal plus efficacement et réduire la pression sur le stockage local.

1. Configurer Windows Event Forwarding (WEF) pour centraliser les journaux
2. Configurer un serveur collecteur pour recevoir les événements transférés
3. Créer des abonnements d'événements personnalisés pour les événements critiques
4. Mettre en œuvre des politiques de rotation et d'archivage des journaux sur le collecteur

Configurer le transfert d'événements sur les ordinateurs sources :

# Activer WinRM pour le transfert d'événements
winrm quickconfig -q

# Configurer le service de transfert
wecutil qc /q

# Créer un abonnement (exécuter sur le serveur collecteur)
wecutil cs subscription.xml

Exemple de configuration XML d'abonnement :

<Subscription xmlns="http://schemas.microsoft.com/2006/03/windows/events/subscription">
    <SubscriptionId>SystemEvents</SubscriptionId>
    <SubscriptionType>SourceInitiated</SubscriptionType>
    <Description>Transférer les événements système</Description>
    <Enabled>true</Enabled>
    <Uri>http://schemas.microsoft.com/wbem/wsman/1/windows/EventLog</Uri>
    <ConfigurationMode>Custom</ConfigurationMode>
    <Query><![CDATA[
        <QueryList>
            <Query Id="0">
                <Select Path="System">*[System[Level=1 or Level=2 or Level=3]]</Select>
            </Query>
        </QueryList>
    ]]></Query>
</Subscription>

Surveiller l'état du transfert :

# Vérifier l'état de l'abonnement
wecutil gr SystemEvents

# Voir les événements transférés
Get-WinEvent -LogName "ForwardedEvents" -MaxEvents 50