ID d'événement Windows 4947 – Microsoft-Windows-Security-Auditing : Service de l'agent de stratégie IPsec démarré

Vérifiez le journal de sécurité pour confirmer que l'agent de stratégie IPsec a démarré avec succès et examinez les événements connexes.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4947 en utilisant l'option Filtrer le journal actuel
4. Examinez les détails de l'événement, y compris l'horodatage et le contexte utilisateur
5. Vérifiez les événements IPsec connexes (4945, 4946, 4948) qui pourraient indiquer des problèmes de stratégie

# Commande PowerShell pour vérifier les événements récents 4947
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4947} -MaxEvents 10 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

Vérifiez que le service Agent de stratégie IPsec est correctement configuré et fonctionne avec les paramètres de démarrage corrects.

1. Ouvrez la console Services en appuyant sur Win + R, en tapant services.msc, et en appuyant sur Entrée
2. Localisez le service Agent de stratégie IPsec dans la liste
3. Cliquez avec le bouton droit et sélectionnez Propriétés pour vérifier le type de démarrage et les dépendances
4. Vérifiez que le service est réglé sur le type de démarrage Automatique
5. Vérifiez l'onglet Dépendances pour vous assurer que les services requis sont disponibles

# Vérifiez l'état et la configuration du service PolicyAgent
Get-Service -Name PolicyAgent | Format-List *

# Affichez le type de démarrage du service et les dépendances
Get-WmiObject -Class Win32_Service -Filter "Name='PolicyAgent'" | Select-Object Name, StartMode, State, PathName

Examinez les politiques IPsec actuelles pour comprendre quelles règles de sécurité ont déclenché le démarrage de l'Agent de politique.

1. Ouvrez Stratégie de sécurité locale en tapant secpol.msc dans la boîte de dialogue Exécuter
2. Accédez à Stratégies de sécurité IP sur l'ordinateur local
3. Examinez les politiques assignées et leurs règles
4. Vérifiez la Console de gestion des stratégies de groupe pour les politiques IPsec basées sur le domaine si vous êtes joint à un domaine
5. Vérifiez l'assignation des politiques et la configuration des règles

# Afficher les politiques IPsec actuelles en utilisant netsh
netsh ipsec static show all

# Vérifier l'assignation des politiques IPsec
netsh ipsec static show gpoassignedpolicy

# Voir les associations IPsec actives
netsh ipsec dynamic show all

Examinez les paramètres du registre qui contrôlent le comportement de l'agent de stratégie IPsec et les emplacements de stockage des stratégies.

1. Ouvrez l'Éditeur du Registre en appuyant sur Win + R, en tapant regedit, et en appuyant sur Entrée
2. Accédez à HKLM\SYSTEM\CurrentControlSet\Services\PolicyAgent
3. Examinez les paramètres du service et la configuration de démarrage
4. Vérifiez HKLM\SOFTWARE\Policies\Microsoft\Windows\IPSec\Policy\Local pour les stratégies locales
5. Examinez HKLM\SOFTWARE\Policies\Microsoft\Windows\IPSec\Policy\Cache pour les stratégies de domaine mises en cache

# Interroger la configuration du registre du service PolicyAgent
Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\PolicyAgent" | Format-List

# Vérifier les emplacements du registre des stratégies IPsec
Get-ChildItem -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\IPSec\Policy" -Recurse | Select-Object Name

Effectuez une analyse complète en corrélant l'ID d'événement 4947 avec d'autres événements système et de sécurité pour identifier les problèmes potentiels.

1. Activez la journalisation d'audit IPsec dans la stratégie de groupe sous Configuration de l'ordinateur → Paramètres Windows → Paramètres de sécurité → Configuration avancée de la stratégie d'audit
2. Surveillez le journal Système pour les événements du service PolicyAgent (ID d'événements 7034, 7035, 7036)
3. Vérifiez le journal des applications pour les erreurs d'application liées à IPsec
4. Utilisez le Moniteur de performances Windows pour suivre les compteurs de performance IPsec
5. Analysez les problèmes de connectivité réseau qui pourraient être liés à l'application de la stratégie IPsec

# Analyse complète des événements pour le dépannage IPsec
$Events = @(4945, 4946, 4947, 4948, 5049, 5050, 5051, 5052)
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=$Events; StartTime=(Get-Date).AddHours(-24)} | Sort-Object TimeCreated

# Vérifiez les événements du service PolicyAgent dans le journal Système
Get-WinEvent -FilterHashtable @{LogName='System'; ProviderName='Service Control Manager'} | Where-Object {$_.Message -like '*PolicyAgent*'}