ID d'événement Windows 1125 – User32 : Notification de session de connexion utilisateur

Commencez par examiner les détails de l'événement dans le Visualiseur d'événements pour comprendre le contexte et le moment de la notification de session.

1. Ouvrez Visualiseur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Système
3. Filtrez pour l'ID d'événement 1125 en cliquant avec le bouton droit sur Système → Filtrer le journal actuel
4. Entrez 1125 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur les entrées récentes de l'ID d'événement 1125 pour examiner les détails, y compris l'horodatage, l'ID de processus et les informations de session
6. Notez la fréquence et les modèles de synchronisation de ces événements par rapport aux activités de connexion utilisateur

Utilisez PowerShell pour analyser les modèles d'ID d'événement 1125 et les corréler avec d'autres événements d'authentification pour une surveillance complète des sessions.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les occurrences récentes de l'ID d'événement 1125 :

   Get-WinEvent -FilterHashtable @{LogName='System'; Id=1125} -MaxEvents 20 | Format-Table TimeCreated, Id, LevelDisplayName, Message -AutoSize

3. Analysez la fréquence des événements au cours des dernières 24 heures :

   $events = Get-WinEvent -FilterHashtable @{LogName='System'; Id=1125; StartTime=(Get-Date).AddDays(-1)}
   $events | Group-Object {$_.TimeCreated.Hour} | Sort-Object Name

4. Corrélez avec les événements de connexion réussie :

   $logonEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624; StartTime=(Get-Date).AddHours(-2)}
   $sessionEvents = Get-WinEvent -FilterHashtable @{LogName='System'; Id=1125; StartTime=(Get-Date).AddHours(-2)}
   Compare-Object $logonEvents.TimeCreated $sessionEvents.TimeCreated

5. Exportez les événements pour une analyse plus approfondie :

   Get-WinEvent -FilterHashtable @{LogName='System'; Id=1125} -MaxEvents 100 | Export-Csv -Path "C:\temp\Event1125_Analysis.csv" -NoTypeInformation

Surveillez la performance de l'établissement de session en suivant le timing de l'ID d'événement 1125 par rapport à d'autres événements de connexion pour identifier les goulets d'étranglement potentiels.

1. Activez l'audit détaillé des connexions dans la stratégie de groupe :
   Configuration de l'ordinateur → Paramètres Windows → Paramètres de sécurité → Configuration avancée de la stratégie d'audit → Connexion/Déconnexion
2. Créez un script de surveillance PowerShell :

   $scriptBlock = {
       $events = Get-WinEvent -FilterHashtable @{LogName='System'; Id=1125; StartTime=(Get-Date).AddMinutes(-5)}
       foreach ($event in $events) {
           Write-Host "Notification de session à $($event.TimeCreated) - ID de processus : $($event.ProcessId)"
       }
   }
   Register-ScheduledJob -Name "Monitor1125" -ScriptBlock $scriptBlock -Trigger (New-JobTrigger -RepeatInterval (New-TimeSpan -Minutes 5) -RepeatIndefinitely -At (Get-Date))

3. Vérifiez le statut du service User32 et ses dépendances :

   Get-Service | Where-Object {$_.Name -like "*User*" -or $_.DisplayName -like "*User*"}
   Get-WmiObject Win32_Service | Where-Object {$_.Name -eq "Themes"} | Select-Object Name, State, StartMode

4. Surveillez le timing de l'établissement de session :

   $startTime = Get-Date
   $events1125 = Get-WinEvent -FilterHashtable @{LogName='System'; Id=1125; StartTime=$startTime.AddMinutes(-10)}
   $events4624 = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624; StartTime=$startTime.AddMinutes(-10)}
   $timeDiff = ($events1125.TimeCreated - $events4624.TimeCreated).TotalSeconds
   Write-Host "Délai moyen de notification de session : $($timeDiff) secondes"

Examinez les paramètres du registre et la configuration du système qui affectent les notifications de session User32 et les processus d'authentification.

1. Vérifiez l'enregistrement du service User32 dans le registre :

   Get-ItemProperty -Path "HKLM\SYSTEM\CurrentControlSet\Services\Themes" -Name DisplayName, Start, Type

2. Examinez la configuration du gestionnaire de session :

   Get-ItemProperty -Path "HKLM\SYSTEM\CurrentControlSet\Control\Session Manager" -Name GlobalFlag, CriticalSectionTimeout

3. Examinez les paramètres du package d'authentification :HKLM\SYSTEM\CurrentControlSet\Control\Lsa
   Vérifiez les valeurs Authentication Packages et Security Packages
4. Vérifiez l'intégrité de la DLL User32 :

   sfc /verifyfile=C:\Windows\System32\user32.dll
   Get-FileHash -Path "C:\Windows\System32\user32.dll" -Algorithm SHA256

5. Vérifiez les paramètres de stratégie de groupe affectant la connexion :

   gpresult /r /scope:computer
   gpresult /h "C:\temp\GPReport.html"

Utilisez Event Tracing for Windows (ETW) et des outils de diagnostic avancés pour capturer des données détaillées sur l'établissement de session lorsque les modèles d'Event ID 1125 indiquent des problèmes.

1. Activez la traçabilité ETW de User32 :

   wevtutil sl Microsoft-Windows-User32/Diagnostic /e:true
   wevtutil sl Microsoft-Windows-Winlogon/Diagnostic /e:true

2. Créez une session de trace ETW personnalisée :

   logman create trace "SessionTrace" -p "Microsoft-Windows-User32" 0xFFFFFFFF 0xFF -o "C:\temp\SessionTrace.etl" -ets
   logman create trace "WinlogonTrace" -p "Microsoft-Windows-Winlogon" 0xFFFFFFFF 0xFF -o "C:\temp\WinlogonTrace.etl" -ets

3. Reproduisez le scénario de connexion et arrêtez la traçabilité :

   logman stop "SessionTrace" -ets
   logman stop "WinlogonTrace" -ets

4. Analysez les fichiers de trace à l'aide de Windows Performance Toolkit :

   wpa.exe "C:\temp\SessionTrace.etl"

5. Générez un rapport système complet :

   msinfo32 /report "C:\temp\SystemInfo.txt"
   Get-ComputerInfo | Out-File "C:\temp\ComputerInfo.txt"
   Get-EventLog -LogName System -After (Get-Date).AddDays(-1) | Where-Object {$_.EventID -in @(1125, 4624, 4634)} | Export-Csv "C:\temp\AuthEvents.csv"