ID d'événement Windows 11708 – Microsoft-Windows-Kernel-General : Changement de l'heure système détecté

Commencez par examiner les détails spécifiques de l'ID d'événement 11708 pour comprendre la nature du changement d'heure.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Système
3. Filtrez le journal en cliquant sur Filtrer le journal actuel dans le volet Actions
4. Entrez 11708 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur les entrées récentes de l'ID d'événement 11708 pour voir des informations détaillées
6. Examinez l'onglet Général pour l'heure ancienne, la nouvelle heure, et les informations sur le processus
7. Vérifiez l'onglet Détails pour des données XML supplémentaires incluant le SID de l'utilisateur et les détails du processus

Utilisez PowerShell pour un filtrage plus efficace :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=11708} -MaxEvents 20 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

Vérifiez la configuration du service de temps Windows pour déterminer si les changements d'heure sont des événements de synchronisation attendus.

1. Ouvrez une session d'invite de commandes ou PowerShell avec élévation de privilèges
2. Vérifiez la configuration actuelle du service de temps :

w32tm /query /configuration

3. Vérifiez la source de temps et le statut de synchronisation :

w32tm /query /source
w32tm /query /status

4. Examinez les journaux d'événements du service de temps pour un contexte supplémentaire :

Get-WinEvent -FilterHashtable @{LogName='System'; ProviderName='Microsoft-Windows-Time-Service'} -MaxEvents 10

5. Pour les ordinateurs joints à un domaine, vérifiez la synchronisation de l'heure du contrôleur de domaine :

w32tm /monitor /domain

Déterminez quel processus et quel compte utilisateur ont initié le changement d'heure pour identifier les préoccupations potentielles en matière de sécurité.

1. Extraire des informations détaillées sur l'événement en utilisant PowerShell :

$Events = Get-WinEvent -FilterHashtable @{LogName='System'; Id=11708} -MaxEvents 5
foreach ($Event in $Events) {
    $XML = [xml]$Event.ToXml()
    $EventData = $XML.Event.EventData.Data
    Write-Host "Heure : $($Event.TimeCreated)"
    Write-Host "ID du processus : $($EventData | Where-Object {$_.Name -eq 'ProcessId'} | Select-Object -ExpandProperty '#text')"
    Write-Host "SID de l'utilisateur : $($EventData | Where-Object {$_.Name -eq 'UserSid'} | Select-Object -ExpandProperty '#text')"
    Write-Host "Ancienne heure : $($EventData | Where-Object {$_.Name -eq 'OldTime'} | Select-Object -ExpandProperty '#text')"
    Write-Host "Nouvelle heure : $($EventData | Where-Object {$_.Name -eq 'NewTime'} | Select-Object -ExpandProperty '#text')"
    Write-Host "---"
}

2. Recoupez l'ID du processus avec les processus en cours à ce moment-là :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4688} | Where-Object {$_.Message -like "*ProcessId*"} | Select-Object TimeCreated, Message

3. Résolvez le SID de l'utilisateur pour identifier le compte :

$SID = "S-1-5-21-..." # Remplacez par le SID réel de l'événement
(New-Object System.Security.Principal.SecurityIdentifier($SID)).Translate([System.Security.Principal.NTAccount])

Mettre en œuvre une surveillance complète pour suivre les changements de temps futurs et établir un comportement de référence.

1. Activer les politiques d'audit avancées pour les changements de temps :

auditpol /set /subcategory:"System Integrity" /success:enable /failure:enable

2. Créer une tâche planifiée pour surveiller l'ID d'événement 11708 :

$Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-Command Get-WinEvent -FilterHashtable @{LogName='System'; Id=11708} -MaxEvents 1 | Out-File C:\Logs\TimeChanges.log -Append"
$Trigger = New-ScheduledTaskTrigger -AtStartup
$Settings = New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries -DontStopIfGoingOnBatteries
Register-ScheduledTask -TaskName "MonitorTimeChanges" -Action $Action -Trigger $Trigger -Settings $Settings -User "SYSTEM"

3. Configurer des vues personnalisées dans le Visualiseur d'événements pour les événements liés au temps :

<QueryList>
  <Query Id="0" Path="System">
    <Select Path="System">*[System[(EventID=11708 or EventID=1074 or EventID=6005 or EventID=6006)]]</Select>
  </Query>
</QueryList>

4. Configurer la stratégie de groupe pour restreindre les autorisations de changement de temps si nécessaire :

Accédez à Configuration de l'ordinateur → Paramètres Windows → Paramètres de sécurité → Politiques locales → Attribution des droits utilisateur → Modifier l'heure du système

Effectuer une analyse complète pour corréler les changements de temps avec d'autres événements système pour les enquêtes de sécurité.

1. Créer un script PowerShell pour une analyse complète des changements de temps :

$StartTime = (Get-Date).AddDays(-7)
$TimeChangeEvents = Get-WinEvent -FilterHashtable @{LogName='System'; Id=11708; StartTime=$StartTime}
$SecurityEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=@(4624,4625,4648,4672); StartTime=$StartTime}

foreach ($TimeEvent in $TimeChangeEvents) {
    $TimeWindow = $TimeEvent.TimeCreated
    $CorrelatedEvents = $SecurityEvents | Where-Object {
        $_.TimeCreated -ge $TimeWindow.AddMinutes(-5) -and 
        $_.TimeCreated -le $TimeWindow.AddMinutes(5)
    }
    
    Write-Host "Événement de changement de temps : $($TimeEvent.TimeCreated)"
    Write-Host "Événements de sécurité corrélés :"
    $CorrelatedEvents | Format-Table TimeCreated, Id, LevelDisplayName -AutoSize
    Write-Host "---"
}

2. Exporter des données d'événements complètes pour une analyse externe :

$Events = Get-WinEvent -FilterHashtable @{LogName='System'; Id=11708; StartTime=(Get-Date).AddDays(-30)}
$Events | Select-Object TimeCreated, Id, LevelDisplayName, @{Name='ProcessId';Expression={([xml]$_.ToXml()).Event.EventData.Data | Where-Object {$_.Name -eq 'ProcessId'} | Select-Object -ExpandProperty '#text'}}, @{Name='UserSid';Expression={([xml]$_.ToXml()).Event.EventData.Data | Where-Object {$_.Name -eq 'UserSid'} | Select-Object -ExpandProperty '#text'}} | Export-Csv -Path "C:\Temp\TimeChangeAnalysis.csv" -NoTypeInformation

3. Vérifier les modifications du registre liées aux paramètres de temps :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4657} | Where-Object {$_.Message -like "*CurrentControlSet\Control\TimeZoneInformation*" -or $_.Message -like "*W32Time*"}

4. Analyser les compteurs de performance système pour les métriques liées au temps :

Get-Counter "\System\System Up Time" -MaxSamples 1
Get-Counter "\W32Time Service\Clock Frequency Adjustment (ppb)" -MaxSamples 5 -SampleInterval 2