ID d'événement Windows 5056 – Microsoft-Windows-Kernel-General : Changement de l'heure système détecté

Commencez par examiner les détails spécifiques de l'ID d'événement 5056 pour comprendre ce qui a déclenché le changement d'heure.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Système
3. Filtrez pour l'ID d'événement 5056 en cliquant avec le bouton droit sur Système → Filtrer le journal actuel → entrez 5056 dans le champ ID d'événements
4. Double-cliquez sur les événements récents 5056 pour voir les détails, y compris l'heure précédente, la nouvelle heure et les informations sur le processus
5. Vérifiez l'onglet Général pour l'ampleur du changement d'heure et l'onglet Détails pour un contexte supplémentaire

Cherchez des motifs dans le timing - des événements fréquents peuvent indiquer des problèmes NTP, tandis que des événements isolés lors du démarrage sont généralement normaux.

Utilisez PowerShell pour analyser les modèles d'ID d'événement 5056 et extraire des informations détaillées de manière programmatique.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les événements récents de changement d'heure :
   

   Get-WinEvent -FilterHashtable @{LogName='System'; Id=5056} -MaxEvents 20 | Format-Table TimeCreated, LevelDisplayName, Message -Wrap

3. Extrayez des détails spécifiques sur le changement d'heure :
   

   Get-WinEvent -FilterHashtable @{LogName='System'; Id=5056} -MaxEvents 10 | ForEach-Object { [xml]$xml = $_.ToXml(); Write-Output "Time: $($_.TimeCreated) - Previous: $($xml.Event.EventData.Data[0].'#text') - New: $($xml.Event.EventData.Data[1].'#text')" }

4. Vérifiez les événements des dernières 24 heures :
   

   Get-WinEvent -FilterHashtable @{LogName='System'; Id=5056; StartTime=(Get-Date).AddDays(-1)}

Cette méthode aide à identifier les modèles de fréquence et à corréler les changements d'heure avec d'autres événements système.

Examinez les paramètres du service W32Time pour déterminer si la synchronisation de l'heure provoque des entrées fréquentes de l'ID d'événement 5056.

1. Vérifiez l'état actuel du service de temps :
   

   w32tm /query /status

2. Consultez la configuration du service de temps :
   

   w32tm /query /configuration

3. Vérifiez les sources du serveur NTP :
   

   w32tm /query /peers

4. Examinez les paramètres du registre du service de temps :
   

   Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\W32Time\Parameters"

5. Testez la synchronisation de l'heure manuellement :
   

   w32tm /resync /rediscover

Identifiez et validez les sources de temps provoquant des changements de l'heure système pour vous assurer qu'elles sont légitimes et correctement configurées.

1. Activez la journalisation détaillée de W32Time :
   

   w32tm /debug /enable /file:C:\temp\w32time.log /size:10000000 /entries:0-300

2. Vérifiez la source de temps actuelle et le niveau :
   

   w32tm /query /source

   
   

   w32tm /query /status | findstr "Stratum\|Source"

3. Vérifiez l'accessibilité du serveur NTP :
   

   w32tm /stripchart /computer:time.windows.com /samples:5

4. Examinez les journaux d'événements du service de temps :
   

   Get-WinEvent -LogName "Microsoft-Windows-Time-Service/Operational" -MaxEvents 50

5. Désactivez la journalisation de débogage une fois terminé :
   

   w32tm /debug /disable

Cette méthode aide à identifier si les changements de temps proviennent de sources légitimes ou d'une manipulation potentiellement malveillante du temps.

Configurez une surveillance complète des changements de temps pour détecter les anomalies et maintenir la conformité des audits.

1. Activez la stratégie d'audit avancée pour les changements de temps :
   

   auditpol /set /subcategory:"System Integrity" /success:enable /failure:enable

2. Créez une tâche planifiée pour surveiller les changements de temps fréquents :
   

   $action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-Command Get-WinEvent -FilterHashtable @{LogName='System'; Id=5056; StartTime=(Get-Date).AddMinutes(-5)} | Out-File C:\logs\timechanges.log -Append"

   
   

   $trigger = New-ScheduledTaskTrigger -Once -At (Get-Date) -RepetitionInterval (New-TimeSpan -Minutes 5)

   
   

   Register-ScheduledTask -TaskName "MonitorTimeChanges" -Action $action -Trigger $trigger

3. Configurez une vue personnalisée dans le Visualiseur d'événements pour les événements liés au temps :
   Accédez à Visualiseur d'événements → Vues personnalisées → Créer une vue personnalisée → filtrez pour les ID d'événement 5056, 1, 12, 129
4. Configurez le transfert d'événements Windows pour une surveillance centralisée :
   

   winrm quickconfig

   
   

   wecutil qc