ID d'événement Windows 1104 – Microsoft-Windows-Eventlog : Arrêt du service de journalisation des événements

Ouvrez le Visualiseur d'événements pour examiner les détails de l'ID d'événement 1104 et les événements environnants :

1. Appuyez sur Windows + R, tapez eventvwr.msc, et appuyez sur Entrée
2. Accédez à Journaux Windows → Système
3. Filtrez le journal en cliquant sur Filtrer le journal actuel dans le volet Actions
4. Entrez 1104 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur l'entrée de l'ID d'événement 1104 pour voir les détails
6. Vérifiez l'horodatage et corrélez avec d'autres événements d'arrêt (1074, 6006, 6008)
7. Consultez l'onglet Général pour des informations de base et l'onglet Détails pour les données XML

Cherchez des motifs dans la fréquence et le timing des arrêts. Plusieurs entrées d'ID d'événement 1104 en succession rapide peuvent indiquer une instabilité du système ou des redémarrages forcés.

Utilisez PowerShell pour analyser les occurrences de l'ID d'événement 1104 et les corréler avec d'autres événements système :

# Obtenez les entrées récentes de l'ID d'événement 1104
Get-WinEvent -FilterHashtable @{LogName='System'; Id=1104} -MaxEvents 20 | Format-Table TimeCreated, Id, LevelDisplayName, Message -AutoSize

# Corréler avec les événements d'arrêt
$shutdownEvents = Get-WinEvent -FilterHashtable @{LogName='System'; Id=1074,1104,6006,6008} -MaxEvents 50
$shutdownEvents | Sort-Object TimeCreated -Descending | Format-Table TimeCreated, Id, LevelDisplayName, Message -AutoSize

# Exporter la chronologie des arrêts pour analyse
$shutdownEvents | Export-Csv -Path "C:\temp\shutdown_timeline.csv" -NoTypeInformation

Cette méthode fournit une corrélation complète des événements d'arrêt et aide à identifier les modèles de comportement du système.

Vérifiez la configuration et l'état du service Journal des événements pour assurer un bon fonctionnement :

# Vérifier l'état du service Journal des événements
Get-Service -Name EventLog | Format-List Name, Status, StartType, ServiceType

# Voir les dépendances du service
Get-Service -Name EventLog -DependentServices
Get-Service -Name EventLog -RequiredServices

# Vérifier la configuration du service dans le registre
Get-ItemProperty -Path "HKLM\SYSTEM\CurrentControlSet\Services\EventLog" | Select-Object Start, Type, ErrorControl

Vérifiez que le service est configuré pour un démarrage automatique et examinez tout problème de dépendance pouvant affecter le comportement à l'arrêt. Le service Journal des événements doit avoir une valeur de démarrage de 2 (automatique) dans le registre.

Créer des rapports complets pour identifier les modèles d'arrêt et les problèmes potentiels :

# Générer un rapport de fréquence d'arrêt
$last30Days = (Get-Date).AddDays(-30)
$shutdowns = Get-WinEvent -FilterHashtable @{LogName='System'; Id=1104; StartTime=$last30Days}

# Grouper par date pour identifier la fréquence des arrêts
$shutdowns | Group-Object {$_.TimeCreated.Date} | Sort-Object Name | Format-Table Name, Count -AutoSize

# Vérifier les arrêts inattendus (ID d'événement 6008)
$unexpectedShutdowns = Get-WinEvent -FilterHashtable @{LogName='System'; Id=6008; StartTime=$last30Days} -ErrorAction SilentlyContinue
if ($unexpectedShutdowns) {
    Write-Host "Arrêts inattendus détectés :" -ForegroundColor Yellow
    $unexpectedShutdowns | Format-Table TimeCreated, Message -AutoSize
}

Cette analyse aide à identifier si les arrêts sont planifiés ou inattendus, et peut révéler des problèmes de stabilité du système nécessitant une attention.

Configurez la surveillance proactive pour les arrêts du service Event Log et les événements système :

# Créer une vue de journal d'événements personnalisée pour la surveillance des arrêts
$filterXML = @"

  
    *[System[(EventID=1104 or EventID=1074 or EventID=6006 or EventID=6008)]]
  

"@

# Interroger en utilisant le filtre personnalisé
Get-WinEvent -FilterXml $filterXML -MaxEvents 50 | Format-Table TimeCreated, Id, LevelDisplayName, Message -AutoSize

Pour la surveillance d'entreprise, configurez le Windows Event Forwarding (WEF) pour centraliser la collecte de l'Event ID 1104 :

1. Ouvrez la console de gestion des stratégies de groupe
2. Accédez à Configuration de l'ordinateur → Modèles d'administration → Composants Windows → Transfert d'événements
3. Activez Configurer le gestionnaire de souscription cible
4. Définissez l'URL du serveur collecteur : Server=http://collector.domain.com:5985/wsman/SubscriptionManager/WEC

Créez des filtres de souscription pour collecter les événements d'arrêt à travers votre infrastructure pour une analyse centralisée et des alertes.