ID d'événement Windows 6 – Kernel-General : Arrêt du système initié

Commencez par examiner les détails de l'ID d'événement 6 et les événements environnants pour comprendre le contexte de l'arrêt.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Système
3. Filtrez le journal en cliquant sur Filtrer le journal actuel dans le volet Actions
4. Entrez 6 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur l'ID d'événement 6 le plus récent pour voir les informations détaillées
6. Notez l'horodatage et examinez les événements survenus 5 à 10 minutes avant l'arrêt
7. Cherchez des événements liés comme l'ID d'événement 1074 (arrêt par l'utilisateur), 1076 (raison de l'arrêt), ou des événements d'erreur d'application

Exploitez PowerShell pour interroger et analyser les occurrences de l'ID d'événement 6 pour les motifs et les tendances.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les entrées récentes de l'ID d'événement 6 :

   Get-WinEvent -FilterHashtable @{LogName='System'; Id=6} -MaxEvents 20 | Format-Table TimeCreated, Id, LevelDisplayName, Message -AutoSize

3. Analysez la fréquence des arrêts au cours des 30 derniers jours :

   $shutdowns = Get-WinEvent -FilterHashtable @{LogName='System'; Id=6; StartTime=(Get-Date).AddDays(-30)}
   $shutdowns | Group-Object {$_.TimeCreated.Date} | Sort-Object Name | Format-Table Name, Count

4. Exportez les données d'arrêt pour une analyse plus approfondie :

   Get-WinEvent -FilterHashtable @{LogName='System'; Id=6} -MaxEvents 100 | Export-Csv -Path "C:\temp\shutdown_events.csv" -NoTypeInformation

5. Corrélez avec l'ID d'événement 1074 pour les arrêts initiés par l'utilisateur :

   $timeRange = (Get-Date).AddHours(-1)
   Get-WinEvent -FilterHashtable @{LogName='System'; Id=1074; StartTime=$timeRange} | Format-List TimeCreated, Message

Activez la journalisation améliorée de l'arrêt pour capturer des informations plus détaillées sur les événements d'arrêt futurs.

1. Ouvrez l'Éditeur du Registre en tant qu'administrateur
2. Accédez à HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Reliability
3. Créez une nouvelle valeur DWORD nommée ShutdownReasonOn et définissez-la sur 1
4. Accédez à HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Reliability
5. Créez un DWORD nommé ShutdownReasonUI et définissez-le sur 1 pour activer la boîte de dialogue de raison d'arrêt
6. Configurez la stratégie de groupe pour une journalisation améliorée:
   • Ouvrez gpedit.msc
   • Accédez à Configuration de l'ordinateur → Modèles d'administration → Système
   • Activez Afficher le suivi des événements d'arrêt
7. Redémarrez le système pour que les modifications prennent effet

Configurez le transfert d'événements Windows pour surveiller centralement l'ID d'événement 6 sur plusieurs systèmes.

1. Configurez le serveur collecteur :

   winrm quickconfig
   wecutil qc

2. Créez un fichier XML d'abonnement personnalisé :

   <Subscription xmlns="http://schemas.microsoft.com/2006/03/windows/events/subscription">
     <SubscriptionId>ShutdownMonitoring</SubscriptionId>
     <SubscriptionType>SourceInitiated</SubscriptionType>
     <Description>Surveiller les arrêts d'ID d'événement 6</Description>
     <Enabled>true</Enabled>
     <Uri>http://schemas.microsoft.com/wbem/wsman/1/windows/EventLog</Uri>
     <Query><![CDATA[<QueryList><Query Id="0"><Select Path="System">*[System[EventID=6]]</Select></Query></QueryList>]]></Query>
   </Subscription>

3. Importez l'abonnement :

   wecutil cs shutdown_monitoring.xml

4. Configurez les ordinateurs sources pour transférer les événements :

   winrm set winrm/config/client @{TrustedHosts="CollectorServerName"}

5. Vérifiez le statut de l'abonnement :

   wecutil gs ShutdownMonitoring

Utilisez Windows Performance Analyzer et Event Tracing for Windows pour une analyse approfondie de l'arrêt.

1. Installez Windows Performance Toolkit à partir du Windows SDK
2. Créez une session ETW personnalisée pour le suivi de l'arrêt :

   wpr -start GeneralProfile -start CPU -start DiskIO

3. Reproduisez le scénario d'arrêt ou attendez la prochaine occurrence
4. Arrêtez la trace après l'arrêt :

   wpr -stop C:\temp\shutdown_trace.etl

5. Analysez la trace avec WPA :

   wpa C:\temp\shutdown_trace.etl

6. Dans WPA, chargez le graphique d'activité système et filtrez les événements liés à l'arrêt
7. Examinez la chronologie menant à l'ID d'événement 6 pour identifier les processus déclencheurs
8. Faites une référence croisée avec l'activité des processus et des threads pour identifier l'initiateur de l'arrêt
9. Exportez les résultats pour la documentation :

   wpa -i C:\temp\shutdown_trace.etl -o C:\temp\shutdown_analysis.txt -profile shutdown_analysis.wpaProfile