ID d'événement Windows 4950 – Microsoft-Windows-Kernel-General : Heure du système modifiée

Commencez par examiner les détails spécifiques de l'ID d'événement 4950 pour comprendre la nature du changement d'heure.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Système
3. Filtrez le journal en cliquant sur Filtrer le journal actuel dans le volet Actions
4. Entrez 4950 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur les entrées récentes de l'ID d'événement 4950 pour voir des informations détaillées
6. Examinez l'onglet Général pour l'heure ancienne, la nouvelle heure et la différence de temps
7. Vérifiez l'onglet Détails pour l'ID de processus et le contexte supplémentaire

Utilisez PowerShell pour interroger plusieurs événements efficacement :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=4950} -MaxEvents 20 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

Enquêter sur la configuration du service de temps Windows pour déterminer si les changements de temps sont un comportement attendu.

1. Ouvrir une invite de commande ou PowerShell avec élévation de privilèges
2. Vérifier la configuration actuelle du service de temps :

w32tm /query /configuration

3. Vérifier la source de temps utilisée :

w32tm /query /source

4. Vérifier le statut du service de temps :

w32tm /query /status

5. Examiner les pairs de synchronisation de temps :

w32tm /query /peers

6. Pour les ordinateurs joints à un domaine, vérifier la hiérarchie du domaine :

w32tm /query /configuration | Select-String -Pattern 'Type|NtpServer'

7. Vérifier le journal des événements du service de temps Windows :

Get-WinEvent -LogName 'Microsoft-Windows-Time-Service/Operational' -MaxEvents 50

Recoupez l'ID d'événement 4950 avec d'autres événements système pour identifier la cause racine et l'impact des changements de temps.

1. Vérifiez les événements de sécurité liés autour de la même période :

$timeChange = Get-WinEvent -FilterHashtable @{LogName='System'; Id=4950} -MaxEvents 1
$startTime = $timeChange.TimeCreated.AddMinutes(-10)
$endTime = $timeChange.TimeCreated.AddMinutes(10)
Get-WinEvent -FilterHashtable @{LogName='Security'; StartTime=$startTime; EndTime=$endTime} | Where-Object {$_.Id -in @(4624,4625,4648,4672)}

2. Cherchez des erreurs d'application qui pourraient être liées aux changements de temps :

Get-WinEvent -FilterHashtable @{LogName='Application'; StartTime=$startTime; EndTime=$endTime; Level=2}

3. Vérifiez les problèmes d'authentification Kerberos :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=@(13,40)} -MaxEvents 20

4. Examinez les événements du Planificateur de tâches pour les tâches manquées ou échouées :

Get-WinEvent -LogName 'Microsoft-Windows-TaskScheduler/Operational' -MaxEvents 50 | Where-Object {$_.TimeCreated -gt $startTime -and $_.TimeCreated -lt $endTime}

5. Créez un rapport chronologique complet :

$events = @()
$events += Get-WinEvent -FilterHashtable @{LogName='System'; Id=4950; StartTime=(Get-Date).AddDays(-1)}
$events += Get-WinEvent -FilterHashtable @{LogName='System'; Id=@(13,40); StartTime=(Get-Date).AddDays(-1)}
$events | Sort-Object TimeCreated | Format-Table TimeCreated, LogName, Id, LevelDisplayName, Message -Wrap

Implémentez des solutions de surveillance pour suivre et alerter sur les changements de temps inattendus à des fins de sécurité et de conformité.

1. Créez une vue personnalisée dans l'Observateur d'événements pour la surveillance des changements de temps :
2. Dans l'Observateur d'événements, cliquez avec le bouton droit sur Vues personnalisées et sélectionnez Créer une vue personnalisée
3. Définissez le Niveau d'événement sur Information, les Journaux d'événements sur Système, et les ID d'événement sur 4950
4. Enregistrez la vue sous le nom "Surveillance des changements de temps"
5. Configurez une tâche planifiée pour alerter sur les changements de temps :

$action = New-ScheduledTaskAction -Execute 'powershell.exe' -Argument '-Command "Get-WinEvent -FilterHashtable @{LogName=\"System\"; Id=4950; StartTime=(Get-Date).AddMinutes(-5)} | ForEach-Object {Send-MailMessage -To admin@company.com -From timechange@company.com -Subject \"Time Change Detected\" -Body $_.Message -SmtpServer mail.company.com}"'
$trigger = New-ScheduledTaskTrigger -Once -At (Get-Date) -RepetitionInterval (New-TimeSpan -Minutes 5) -RepetitionDuration (New-TimeSpan -Days 365)
Register-ScheduledTask -TaskName "TimeChangeAlert" -Action $action -Trigger $trigger -Description "Alert on system time changes"

6. Configurez le transfert d'événements Windows pour une surveillance centralisée :

# Sur le serveur collecteur
wecutil qc
# Créer un abonnement pour l'ID d'événement 4950
wecutil cs TimeChangeSubscription.xml

7. Utilisez PowerShell pour créer un moniteur en temps réel :

Register-WmiEvent -Query "SELECT * FROM Win32_VolumeChangeEvent" -Action {
    $event = Get-WinEvent -FilterHashtable @{LogName='System'; Id=4950} -MaxEvents 1
    Write-Host "Changement de temps détecté à $($event.TimeCreated): $($event.Message)"
}

Effectuer une analyse médico-légale approfondie pour comprendre la source et l'impact des changements de temps, en particulier dans les enquêtes sur les incidents de sécurité.

1. Exporter les événements ID 4950 pour une analyse détaillée :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=4950; StartTime=(Get-Date).AddDays(-30)} | Export-Csv -Path "C:\Temp\TimeChanges.csv" -NoTypeInformation

2. Examiner les clés de registre liées à la synchronisation du temps :

# Vérifier la configuration du service de temps
Get-ItemProperty -Path "HKLM\SYSTEM\CurrentControlSet\Services\W32Time\Parameters"
# Examiner les fournisseurs de temps
Get-ChildItem -Path "HKLM\SYSTEM\CurrentControlSet\Services\W32Time\TimeProviders" -Recurse

3. Analyser les informations de processus à partir des détails de l'événement :

$events = Get-WinEvent -FilterHashtable @{LogName='System'; Id=4950} -MaxEvents 10
foreach ($event in $events) {
    $xml = [xml]$event.ToXml()
    $processId = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'ProcessId'} | Select-Object -ExpandProperty '#text'
    if ($processId) {
        Write-Host "Changement de temps par ID de processus : $processId à $($event.TimeCreated)"
    }
}

4. Vérifier les motifs de temps suspects en utilisant une analyse statistique :

$timeChanges = Get-WinEvent -FilterHashtable @{LogName='System'; Id=4950; StartTime=(Get-Date).AddDays(-7)}
$intervals = @()
for ($i = 1; $i -lt $timeChanges.Count; $i++) {
    $interval = ($timeChanges[$i-1].TimeCreated - $timeChanges[$i].TimeCreated).TotalMinutes
    $intervals += $interval
}
$avgInterval = ($intervals | Measure-Object -Average).Average
Write-Host "Temps moyen entre les changements : $avgInterval minutes"
$intervals | Group-Object | Sort-Object Count -Descending

5. Générer un rapport médico-légal complet :

$report = @"
Rapport médico-légal sur les changements de temps - Généré : $(Get-Date)
=================================================

Changements de temps récents :
"@
$events = Get-WinEvent -FilterHashtable @{LogName='System'; Id=4950} -MaxEvents 20
foreach ($event in $events) {
    $report += "`n$($event.TimeCreated): $($event.Message)"
}
$report += "`n`nStatut du service de temps :`n"
$report += w32tm /query /status
$report | Out-File -FilePath "C:\Temp\TimeChangeReport.txt"