ID d'événement Windows 1101 – Winlogon : Notification de connexion utilisateur pour le programme d'amélioration de l'expérience client

Ouvrez l'Observateur d'événements pour examiner les détails spécifiques des occurrences de l'ID d'événement 1101 :

1. Appuyez sur Windows + R, tapez eventvwr.msc, et appuyez sur Entrée
2. Accédez à Journaux Windows → Application
3. Dans le volet Actions, cliquez sur Filtrer le journal actuel
4. Entrez 1101 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur n'importe quelle entrée d'ID d'événement 1101 pour voir les informations détaillées
6. Consultez l'onglet Général pour la description de l'événement et l'onglet Détails pour les données XML
7. Notez le SID de l'utilisateur, l'ID de processus, et toute information contextuelle supplémentaire

Utilisez PowerShell pour interroger plusieurs événements efficacement :

Get-WinEvent -FilterHashtable @{LogName='Application'; Id=1101} -MaxEvents 50 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

Analyser les modèles d'ID d'événement 1101 pour comprendre le comportement des utilisateurs et l'utilisation du système :

1. Créer un script PowerShell pour suivre la fréquence des connexions :

$StartTime = (Get-Date).AddDays(-7)
$Events = Get-WinEvent -FilterHashtable @{LogName='Application'; Id=1101; StartTime=$StartTime}
$GroupedEvents = $Events | Group-Object {$_.TimeCreated.Date} | Sort-Object Name
$GroupedEvents | Select-Object Name, Count | Format-Table -AutoSize

2. Configurer une tâche planifiée pour exécuter cette analyse chaque semaine
3. Comparer les modèles avec les journaux de sécurité pour corréler les événements d'authentification
4. Utiliser les vues personnalisées de l'Observateur d'événements pour créer une vue de surveillance dédiée à 1101 :
5. Cliquez avec le bouton droit sur Vues personnalisées → Créer une vue personnalisée
6. Sélectionnez Par journal → Application
7. Entrez 1101 dans le champ ID d'événement
8. Nommer la vue "Notifications de connexion CEIP" et enregistrer

Ajustez les paramètres de télémétrie de Windows pour contrôler la génération de l'ID d'événement 1101 :

1. Ouvrez l'Éditeur de stratégie de groupe (gpedit.msc) pour les modifications de stratégie locale
2. Accédez à Configuration de l'ordinateur → Modèles d'administration → Composants Windows → Collecte de données et versions d'évaluation
3. Double-cliquez sur la stratégie Autoriser la télémétrie
4. Configurez le niveau de télémétrie (0=Sécurité, 1=Basique, 2=Amélioré, 3=Complet)
5. Appliquez les modifications et exécutez gpupdate /force

Pour la configuration basée sur le registre :

Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\DataCollection" -Name "AllowTelemetry" -Value 1 -Type DWord

Vérifiez les paramètres de télémétrie actuels :

Get-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\DataCollection" -Name "AllowTelemetry" -ErrorAction SilentlyContinue

6. Redémarrez le système ou redémarrez le service de stratégie de diagnostic :

Restart-Service -Name "DPS" -Force

Enquêter sur les services et processus responsables de la génération de l'ID d'événement 1101 :

1. Vérifier l'état du service de politique de diagnostic :

Get-Service -Name "DPS" | Format-List Name, Status, StartType, ServiceType

2. Examiner le service Expériences Utilisateur Connectées et Télémétrie :

Get-Service -Name "DiagTrack" | Format-List *

3. Examiner les dépendances de service et les processus associés :

Get-WmiObject -Class Win32_Service -Filter "Name='DiagTrack'" | Select-Object Name, State, StartMode, ProcessId

4. Surveiller l'activité de télémétrie en temps réel à l'aide de Process Monitor :
5. Télécharger et exécuter ProcMon de Microsoft Sysinternals
6. Définir des filtres pour que le nom du processus contienne "svchost" et le chemin contienne "telemetry"
7. Observer les modèles d'accès aux fichiers et au registre lors de la connexion de l'utilisateur
8. Vérifier la configuration du transfert d'événements Windows si dans un environnement d'entreprise :

wecutil es | ForEach-Object { wecutil gs $_ }

Mettre en œuvre une surveillance complète pour l'ID d'événement 1101 dans les environnements d'entreprise :

1. Créer un script de surveillance PowerShell pour une analyse automatisée :

$LogName = "Application"
$EventID = 1101
$Hours = 24
$StartTime = (Get-Date).AddHours(-$Hours)

$Events = Get-WinEvent -FilterHashtable @{
    LogName = $LogName
    Id = $EventID
    StartTime = $StartTime
} -ErrorAction SilentlyContinue

if ($Events) {
    $EventCount = $Events.Count
    $UniqueUsers = ($Events | ForEach-Object { $_.UserId } | Sort-Object -Unique).Count
    
    Write-Output "Résumé de l'ID d'événement 1101 (Dernières $Hours heures) :"
    Write-Output "Événements totaux : $EventCount"
    Write-Output "Utilisateurs uniques : $UniqueUsers"
    Write-Output "Événements moyens par heure : $([math]::Round($EventCount/$Hours, 2))"
}

2. Configurer le transfert d'événements Windows pour une collecte centralisée :
3. Configurer les ordinateurs sources avec : winrm quickconfig
4. Sur le serveur collecteur, exécuter : wecutil cs subscription.xml
5. Créer un fichier XML d'abonnement ciblant l'ID d'événement 1101
6. Mettre en œuvre l'intégration SIEM en utilisant l'API du journal des événements Windows
7. Configurer des seuils d'alerte pour des modèles de connexion inhabituels
8. Créer des visualisations de tableau de bord pour les tendances des événements de télémétrie