ID d'événement Windows 6009 – EventLog : Informations de démarrage du noyau Microsoft Windows

Accédez au Visualisateur d'événements pour examiner les informations de démarrage et les détails de configuration système capturés par l'ID d'événement 6009.

1. Appuyez sur Windows + R, tapez eventvwr.msc, et appuyez sur Entrée
2. Accédez à Journaux Windows → Système
3. Dans le volet Actions, cliquez sur Filtrer le journal actuel
4. Entrez 6009 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur n'importe quelle entrée d'ID d'événement 6009 pour voir des informations système détaillées
6. Consultez l'onglet Général pour le nombre de processeurs, la taille de la mémoire et les détails de l'architecture
7. Vérifiez l'onglet Détails pour les données XML brutes contenant des paramètres système supplémentaires

Utilisez PowerShell pour récupérer et analyser les entrées d'ID d'événement 6009 à des fins de surveillance et d'inventaire du système.

1. Ouvrez PowerShell en tant qu'administrateur
2. Exécutez la commande suivante pour obtenir les événements de démarrage récents :

   Get-WinEvent -FilterHashtable @{LogName='System'; Id=6009} -MaxEvents 10 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

3. Pour l'extraction d'informations matérielles détaillées :

   $bootEvents = Get-WinEvent -FilterHashtable @{LogName='System'; Id=6009} -MaxEvents 5
   foreach ($event in $bootEvents) {
       Write-Host "Heure de démarrage : $($event.TimeCreated)"
       Write-Host "Message : $($event.Message)"
       Write-Host "---"
   }

4. Pour exporter les informations de démarrage vers un fichier CSV pour le suivi de l'inventaire :

   Get-WinEvent -FilterHashtable @{LogName='System'; Id=6009} -MaxEvents 50 | Select-Object TimeCreated, Message | Export-Csv -Path "C:\temp\boot_inventory.csv" -NoTypeInformation

Implémentez une surveillance pour suivre la fréquence de démarrage, détecter les changements matériels et identifier les problèmes de stabilité du système.

1. Créez un script PowerShell pour analyser les modèles de démarrage :

   $bootEvents = Get-WinEvent -FilterHashtable @{LogName='System'; Id=6009} -MaxEvents 100
   $bootTimes = $bootEvents | Select-Object TimeCreated
   $bootCount = $bootTimes.Count
   $daysSinceFirst = (Get-Date) - $bootTimes[-1].TimeCreated
   $avgBootsPerDay = [math]::Round($bootCount / $daysSinceFirst.TotalDays, 2)
   Write-Host "Total des démarrages pendant la période : $bootCount"
   Write-Host "Moyenne des démarrages par jour : $avgBootsPerDay"

2. Vérifiez les changements de configuration matérielle en comparant les événements récents :

   $recentBoots = Get-WinEvent -FilterHashtable @{LogName='System'; Id=6009} -MaxEvents 5
   $uniqueConfigs = $recentBoots | Group-Object Message
   if ($uniqueConfigs.Count -gt 1) {
       Write-Warning "Changements de configuration matérielle détectés !"
       $uniqueConfigs | ForEach-Object { Write-Host $_.Name }
   }

3. Configurez une tâche planifiée pour enregistrer les informations de démarrage à un emplacement central pour la surveillance d'entreprise

Analyser les données XML de l'ID d'événement 6009 pour extraire des paramètres matériels spécifiques pour l'inventaire automatisé et le rapport de conformité.

1. Utiliser PowerShell pour extraire des données structurées de l'XML de l'événement :

   $bootEvent = Get-WinEvent -FilterHashtable @{LogName='System'; Id=6009} -MaxEvents 1
   $xml = [xml]$bootEvent.ToXml()
   $eventData = $xml.Event.EventData.Data
   foreach ($data in $eventData) {
       Write-Host "$($data.Name): $($data.'#text')"
   }

2. Créer une fonction d'inventaire matériel complète :

   function Get-BootHardwareInfo {
       $bootEvent = Get-WinEvent -FilterHashtable @{LogName='System'; Id=6009} -MaxEvents 1
       $message = $bootEvent.Message
       
       # Analyser les informations sur le processeur et la mémoire à partir du message
       if ($message -match 'processor\(s\), (\d+) MB') {
           $memory = $matches[1]
           Write-Host "Total Memory: $memory MB"
       }
       
       return @{
           BootTime = $bootEvent.TimeCreated
           ComputerName = $env:COMPUTERNAME
           Message = $message
       }
   }

3. S'intégrer aux systèmes de surveillance d'entreprise en exportant aux formats JSON ou XML pour la consommation SIEM

Effectuez une analyse avancée en corrélant l'ID d'événement 6009 avec d'autres événements liés au démarrage pour une surveillance complète de la santé du système.

1. Créez un script d'analyse de démarrage complet :

   $startDate = (Get-Date).AddDays(-30)
   $bootEvents = Get-WinEvent -FilterHashtable @{LogName='System'; Id=6009; StartTime=$startDate}
   $shutdownEvents = Get-WinEvent -FilterHashtable @{LogName='System'; Id=1074; StartTime=$startDate} -ErrorAction SilentlyContinue
   
   Write-Host "Analyse de démarrage pour les 30 derniers jours :"
   Write-Host "Total des démarrages : $($bootEvents.Count)"
   Write-Host "Arrêts planifiés : $($shutdownEvents.Count)"
   
   # Calculer le temps moyen de démarrage en regardant le temps entre l'arrêt et le prochain démarrage
   for ($i = 0; $i -lt $shutdownEvents.Count; $i++) {
       $shutdown = $shutdownEvents[$i]
       $nextBoot = $bootEvents | Where-Object { $_.TimeCreated -gt $shutdown.TimeCreated } | Select-Object -First 1
       if ($nextBoot) {
           $downtime = $nextBoot.TimeCreated - $shutdown.TimeCreated
           Write-Host "Temps d'arrêt : $($downtime.TotalMinutes) minutes"
       }
   }

2. Configurez des alertes automatisées pour les modèles de démarrage inhabituels :

   $recentBoots = Get-WinEvent -FilterHashtable @{LogName='System'; Id=6009} -MaxEvents 10
   $bootTimes = $recentBoots | ForEach-Object { $_.TimeCreated }
   $intervals = @()
   for ($i = 0; $i -lt $bootTimes.Count - 1; $i++) {
       $interval = ($bootTimes[$i] - $bootTimes[$i+1]).TotalHours
       $intervals += $interval
   }
   $avgInterval = ($intervals | Measure-Object -Average).Average
   if ($avgInterval -lt 1) {
       Write-Warning "Redémarrages fréquents détectés - possible instabilité du système"
   }

3. Configurez le transfert d'événements Windows pour centraliser la collecte de l'ID d'événement 6009 sur plusieurs systèmes pour une surveillance des démarrages à l'échelle de l'entreprise