ID d'événement Windows 5889 – Microsoft-Windows-Kernel-General : Changement de l'heure système détecté

Commencez par examiner les détails spécifiques de l'ID d'événement 5889 pour comprendre ce qui a déclenché le changement d'heure.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Système
3. Filtrez le journal en cliquant sur Filtrer le journal actuel dans le volet Actions
4. Entrez 5889 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur les entrées récentes de l'ID d'événement 5889 pour voir les informations détaillées
6. Vérifiez l'onglet Général pour l'heure ancienne, la nouvelle heure, et les informations sur le processus
7. Notez la différence de temps et si les changements semblent automatiques ou manuels

Utilisez PowerShell pour interroger plusieurs événements efficacement :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=5889} -MaxEvents 20 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

Vérifiez la configuration du service de temps Windows pour déterminer si les changements de temps sont des synchronisations automatiques attendues.

1. Ouvrez une session d'invite de commandes ou PowerShell avec élévation de privilèges
2. Vérifiez la configuration actuelle du service de temps :

w32tm /query /configuration

3. Examinez les sources du serveur NTP et les paramètres de synchronisation :

w32tm /query /source
w32tm /query /status

4. Vérifiez les journaux de synchronisation du temps pour un contexte supplémentaire :

Get-WinEvent -FilterHashtable @{LogName='System'; ProviderName='Microsoft-Windows-Time-Service'} -MaxEvents 10

5. Vérifiez la hiérarchie de synchronisation du temps de domaine si joint à un domaine :

w32tm /query /peers

6. Testez la synchronisation manuelle pour voir si elle déclenche l'ID d'événement 5889 :

w32tm /resync /nowait

Enquêter sur quel processus ou compte utilisateur a initié le changement d'heure pour déterminer s'il était autorisé.

1. Utilisez PowerShell pour extraire des informations détaillées sur l'événement, y compris les détails du processus :

$Events = Get-WinEvent -FilterHashtable @{LogName='System'; Id=5889} -MaxEvents 10
foreach ($Event in $Events) {
    $EventXML = [xml]$Event.ToXml()
    Write-Host "Heure : $($Event.TimeCreated)"
    Write-Host "Processus : $($EventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'ProcessName'} | Select-Object -ExpandProperty '#text')"
    Write-Host "Utilisateur : $($Event.UserId)"
    Write-Host "---"
}

2. Faire une référence croisée avec le journal de sécurité pour les événements de connexion autour de la même heure :

$TimeChangeEvents = Get-WinEvent -FilterHashtable @{LogName='System'; Id=5889} -MaxEvents 5
foreach ($Event in $TimeChangeEvents) {
    $StartTime = $Event.TimeCreated.AddMinutes(-5)
    $EndTime = $Event.TimeCreated.AddMinutes(5)
    Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624; StartTime=$StartTime; EndTime=$EndTime} | Select-Object TimeCreated, Id, Message
}

3. Vérifiez les tâches planifiées qui pourraient modifier l'heure système :

Get-ScheduledTask | Where-Object {$_.Actions.Execute -like '*time*' -or $_.Actions.Arguments -like '*time*'}

4. Examiner les paramètres de stratégie de groupe qui pourraient affecter la synchronisation de l'heure :

gpresult /h GPReport.html
# Examiner le rapport HTML généré pour les politiques liées au temps

Implémentez une surveillance pour suivre les changements de temps futurs et configurez des alertes pour les modifications non autorisées.

1. Créez un script PowerShell pour surveiller l'ID d'événement 5889 en temps réel :

# Enregistrer sous Monitor-TimeChanges.ps1
Register-WmiEvent -Query "SELECT * FROM Win32_VolumeChangeEvent WHERE EventType = 2" -Action {
    $Event = Get-WinEvent -FilterHashtable @{LogName='System'; Id=5889} -MaxEvents 1
    Write-Host "Changement de temps détecté à : $($Event.TimeCreated)" -ForegroundColor Yellow
    # Ajouter une notification par email ou un enregistrement ici
}

Write-Host "Surveillance des changements de temps. Appuyez sur Ctrl+C pour arrêter."
try { while ($true) { Start-Sleep 1 } }
finally { Get-EventSubscriber | Unregister-Event }

2. Configurez le transfert d'événements Windows pour centraliser la surveillance des changements de temps :

# Sur le serveur collecteur
wecutil qc
# Créer une souscription pour l'ID d'événement 5889 à partir de plusieurs systèmes

3. Configurez la politique d'audit pour améliorer le suivi des changements de temps :

auditpol /set /subcategory:"System Integrity" /success:enable /failure:enable

4. Créez une vue personnalisée du journal des événements Windows pour les changements de temps :

# Enregistrer sous TimeChangeView.xml et importer dans le Visualiseur d'événements
<ViewerConfig>
  <QueryConfig>
    <QueryParams>
      <Simple>
        <Channel>System</Channel>
        <EventId>5889</EventId>
        <RelativeTimeInfo>0</RelativeTimeInfo>
        <BySource>False</BySource>
      </Simple>
    </QueryParams>
  </QueryConfig>
</ViewerConfig>

Effectuer une analyse approfondie des événements de changement de temps pour les enquêtes de sécurité ou les exigences de conformité.

1. Exporter les événements d'ID 5889 pour une analyse détaillée :

$Events = Get-WinEvent -FilterHashtable @{LogName='System'; Id=5889} -MaxEvents 100
$Events | Export-Csv -Path "C:\Temp\TimeChangeEvents.csv" -NoTypeInformation

# Créer un rapport détaillé avec les différences de temps
$Report = foreach ($Event in $Events) {
    $EventXML = [xml]$Event.ToXml()
    $OldTime = $EventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'OldTime'} | Select-Object -ExpandProperty '#text'
    $NewTime = $EventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'NewTime'} | Select-Object -ExpandProperty '#text'
    [PSCustomObject]@{
        EventTime = $Event.TimeCreated
        OldSystemTime = $OldTime
        NewSystemTime = $NewTime
        TimeDifference = ([DateTime]$NewTime - [DateTime]$OldTime).TotalSeconds
        ProcessId = $Event.ProcessId
        UserId = $Event.UserId
    }
}
$Report | Export-Csv -Path "C:\Temp\TimeChangeAnalysis.csv" -NoTypeInformation

2. Vérifier les entrées de registre liées à la configuration du service de temps :

# Paramètres de registre du service de temps Windows
Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\W32Time\Parameters"
Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\W32Time\Config"

# Informations sur le fuseau horaire
Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\TimeZoneInformation"

3. Corréler avec d'autres événements de sécurité pour une chronologie complète :

# Obtenir les événements liés autour des changements de temps
$TimeChanges = Get-WinEvent -FilterHashtable @{LogName='System'; Id=5889} -MaxEvents 10
foreach ($Change in $TimeChanges) {
    $StartTime = $Change.TimeCreated.AddMinutes(-10)
    $EndTime = $Change.TimeCreated.AddMinutes(10)
    
    Write-Host "=== Changement de temps à $($Change.TimeCreated) ===" -ForegroundColor Cyan
    
    # Vérifier les événements de connexion
    Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624,4625; StartTime=$StartTime; EndTime=$EndTime} -ErrorAction SilentlyContinue | 
        Select-Object TimeCreated, Id, @{Name='Event';Expression={if($_.Id -eq 4624){'Succès de connexion'}else{'Échec de connexion'}}}
    
    # Vérifier l'utilisation des privilèges
    Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4672; StartTime=$StartTime; EndTime=$EndTime} -ErrorAction SilentlyContinue | 
        Select-Object TimeCreated, Id, @{Name='Event';Expression={'Privilèges spéciaux attribués'}}
}

4. Générer une chronologie médico-légale pour la réponse aux incidents :

# Créer une chronologie complète
$Timeline = @()
$Timeline += Get-WinEvent -FilterHashtable @{LogName='System'; Id=5889} -MaxEvents 50 | 
    Select-Object TimeCreated, @{Name='EventType';Expression={'Changement de temps'}}, @{Name='Source';Expression={'Système'}}, Message
$Timeline += Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624,4625,4672} -MaxEvents 100 | 
    Select-Object TimeCreated, @{Name='EventType';Expression={'Sécurité'}}, @{Name='Source';Expression={'Sécurité'}}, Message

$Timeline | Sort-Object TimeCreated -Descending | Export-Csv -Path "C:\Temp\SecurityTimeline.csv" -NoTypeInformation