ID d'événement Windows 5121 – Microsoft-Windows-Kernel-General : Changement de l'heure système détecté

Commencez par examiner les détails spécifiques de l'ID d'événement 5121 pour comprendre ce qui a déclenché le changement d'heure.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Système
3. Filtrez le journal en cliquant sur Filtrer le journal actuel dans le volet Actions
4. Entrez 5121 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur les entrées récentes de l'ID d'événement 5121 pour voir des informations détaillées
6. Examinez l'onglet Général pour les champs OldTime, NewTime, et Reason
7. Vérifiez l'onglet Détails pour un contexte supplémentaire incluant l'ID de processus

Utilisez PowerShell pour interroger plusieurs événements efficacement :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=5121} -MaxEvents 20 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

Enquêter sur la configuration du service de temps Windows et l'état de synchronisation pour identifier les problèmes potentiels.

1. Ouvrir une session d'invite de commandes ou PowerShell avec élévation de privilèges
2. Vérifier l'état actuel de la synchronisation de l'heure :

w32tm /query /status

3. Examiner la configuration de la source de temps :

w32tm /query /source

4. Examiner la configuration détaillée du service de temps :

w32tm /query /configuration

5. Vérifier les événements récents de synchronisation de l'heure :

Get-WinEvent -FilterHashtable @{LogName='System'; ProviderName='Microsoft-Windows-Time-Service'} -MaxEvents 10

6. Vérifier la connectivité du serveur NTP si vous utilisez des sources de temps externes :

w32tm /stripchart /computer:pool.ntp.org /samples:5

Identifier quels processus modifient l'heure système et déterminer si les changements sont autorisés.

1. Utiliser PowerShell pour extraire des informations détaillées sur les événements, y compris les détails des processus :

$Events = Get-WinEvent -FilterHashtable @{LogName='System'; Id=5121} -MaxEvents 50
foreach ($Event in $Events) {
    $XML = [xml]$Event.ToXml()
    $ProcessId = $XML.Event.EventData.Data | Where-Object {$_.Name -eq 'ProcessId'} | Select-Object -ExpandProperty '#text'
    $OldTime = $XML.Event.EventData.Data | Where-Object {$_.Name -eq 'OldTime'} | Select-Object -ExpandProperty '#text'
    $NewTime = $XML.Event.EventData.Data | Where-Object {$_.Name -eq 'NewTime'} | Select-Object -ExpandProperty '#text'
    Write-Output "Time: $($Event.TimeCreated) | Process ID: $ProcessId | Old: $OldTime | New: $NewTime"
}

2. Recouper les IDs de processus avec les processus en cours au moment de l'événement
3. Vérifier les applications suspectes qui pourraient manipuler l'heure système :

Get-Process | Where-Object {$_.ProcessName -match 'time|clock|sync'} | Select-Object ProcessName, Id, StartTime, Path

4. Examiner les logiciels installés pour les utilitaires liés au temps :

Get-WmiObject -Class Win32_Product | Where-Object {$_.Name -match 'time|clock|sync'} | Select-Object Name, Version, InstallDate

5. Examiner les tâches planifiées qui pourraient modifier l'heure système :

Get-ScheduledTask | Where-Object {$_.Actions.Execute -match 'w32tm|time|clock'} | Select-Object TaskName, State, Actions

Implémentez une surveillance complète pour suivre et alerter sur les changements de temps non autorisés.

1. Activez la stratégie d'audit avancée pour les changements de temps en utilisant la stratégie de groupe ou la stratégie de sécurité locale :
2. Ouvrez Stratégie de sécurité locale (secpol.msc) ou Gestion des stratégies de groupe
3. Accédez à Configuration de l'ordinateur → Paramètres Windows → Paramètres de sécurité → Configuration de la stratégie d'audit avancée
4. Développez Stratégies d'audit système → Système
5. Configurez Audit de l'extension du système de sécurité sur Succès et Échec
6. Configurez un script de surveillance PowerShell pour des alertes en temps réel :

# Créer un script de surveillance
$Action = {
    $Event = $Event.SourceEventArgs.NewEvent
    $XML = [xml]$Event.ToXml()
    $NewTime = $XML.Event.EventData.Data | Where-Object {$_.Name -eq 'NewTime'} | Select-Object -ExpandProperty '#text'
    $OldTime = $XML.Event.EventData.Data | Where-Object {$_.Name -eq 'OldTime'} | Select-Object -ExpandProperty '#text'
    Write-Host "ALERTE : L'heure du système a changé de $OldTime à $NewTime" -ForegroundColor Red
    # Ajoutez ici une notification par email ou un enregistrement
}

Register-WmiEvent -Query "SELECT * FROM Win32_VolumeChangeEvent" -Action $Action

7. Configurez le transfert d'événements Windows pour centraliser les événements de changement de temps :

wecutil qc /q
winrm quickconfig

8. Créez des vues de journal d'événements personnalisées pour les événements liés au temps dans le Visualiseur d'événements

Résolvez les problèmes sous-jacents de synchronisation temporelle qui peuvent causer des occurrences fréquentes de l'ID d'événement 5121.

1. Réinitialisez la configuration du service de temps Windows aux valeurs par défaut :

Stop-Service w32time
w32tm /unregister
w32tm /register
Start-Service w32time

2. Configurez des sources de temps fiables pour les environnements de domaine et de groupe de travail :

# Pour les contrôleurs de domaine
w32tm /config /manualpeerlist:"pool.ntp.org,0x8 time.windows.com,0x8" /syncfromflags:manual /reliable:yes /update

# Pour les membres du domaine
w32tm /config /syncfromflags:domhier /update

3. Ajustez les intervalles de synchronisation temporelle pour réduire les changements fréquents :

reg add "HKLM\SYSTEM\CurrentControlSet\Services\W32Time\Config" /v MaxPosPhaseCorrection /t REG_DWORD /d 3600 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Services\W32Time\Config" /v MaxNegPhaseCorrection /t REG_DWORD /d 3600 /f

4. Configurez les politiques de synchronisation temporelle via la stratégie de groupe :
5. Ouvrez la gestion des stratégies de groupe et modifiez le GPO approprié
6. Accédez à Configuration de l'ordinateur → Modèles d'administration → Système → Service de temps Windows
7. Configurez les fournisseurs de temps et les paramètres de synchronisation
8. Forcez la synchronisation temporelle immédiate et vérifiez les résultats :

w32tm /resync /force
w32tm /query /status

8. Surveillez la dérive de l'horloge matérielle sur les systèmes physiques :

w32tm /monitor /computers:localhost