Tutoriel 📝 Collecteur d’événements Windows : erreurs de collecte à distance

[Sylvain*]

Collecteur d’événements Windows : erreurs de collecte à distance

Introduction

Le Collecteur d’événements Windows permet de centraliser les journaux d’événements provenant d’ordinateurs distants, facilitant ainsi le suivi et le diagnostic des systèmes. Cependant, des erreurs peuvent empêcher la collecte des événements, souvent en raison de problèmes de configuration, de permissions ou de pare-feu bloquant les connexions.

Ce guide vous propose plusieurs solutions pour résoudre les erreurs empêchant la collecte des événements à distance.

---

Prérequis

• Vérifier que le service Collecteur d’événements Windows est activé

• Accès administrateur sur les machines source et cible

• Assurer une connectivité réseau stable entre les ordinateurs

---

Différentes Approches

• Approche #1 : Vérifier la configuration du collecteur d’événements

• Approche #2 : Activer et configurer le pare-feu pour autoriser la collecte

• Approche #3 : Vérifier les permissions et groupes de sécurité

• Approche #4 : Utiliser un outil tiers pour la gestion des journaux distants

---

Niveau de difficulté

• Approche #1 : Facile

• Approche #2 : Intermédiaire

• Approche #3 : Avancé

• Approche #4 : Facile

---

Avantages

• Approche #1 : Vérification rapide de la configuration du service

• Approche #2 : Résout les blocages liés aux règles de pare-feu

• Approche #3 : Corrige les erreurs d’accès et de permissions

• Approche #4 : Simplifie la gestion des événements distants avec un outil spécialisé

---

Inconvénients

• Approche #1 : Ne suffit pas si des restrictions réseau sont en place

• Approche #2 : Risque d’exposition aux attaques si mal configuré

• Approche #3 : Modification avancée des permissions pouvant impacter la sécurité

• Approche #4 : Dépendance à un logiciel tiers

---

Approche #1 : Vérifier la configuration du collecteur d’événements

Ouvrez Services (Win + R, tapez services.msc et validez).

Vérifiez que le service Collecteur d’événements Windows est défini sur Automatique et en cours d’exécution.

Si le service est arrêté, cliquez sur Démarrer.

Vérifiez si la collecte des événements fonctionne à distance.

Si l’erreur persiste, passez à l’Approche #2.

---

Approche #2 : Activer et configurer le pare-feu pour autoriser la collecte

Ouvrez Pare-feu Windows avec sécurité avancée (Win + R, tapez wf.msc et validez).

Assurez-vous que la règle Windows Remote Management (HTTP-In) est activée.

Si nécessaire, ajoutez une règle personnalisée pour autoriser le trafic sur le port 5985 (HTTP) ou 5986 (HTTPS).

Testez la connexion entre le collecteur et la machine distante.

Si le problème persiste, passez à l’Approche #3.

---

Approche #3 : Vérifier les permissions et groupes de sécurité

Ouvrez Gestion de l’ordinateur (Win + X > Gestion de l’ordinateur).

Accédez à Utilisateurs et groupes locaux > Groupes > Event Log Readers.

Assurez-vous que le compte utilisé pour la collecte des événements est bien membre de ce groupe.

Si nécessaire, ajoutez l’utilisateur ou le service collecteur et redémarrez la machine.

Testez la récupération des événements distants.

Si le problème n’est toujours pas résolu, passez à l’Approche #4.

---

Approche #4 : Utilisation d’un outil tiers

Téléchargez et installez Event Log Explorer :

Télécharger Event Log Explorer

Ajoutez les machines distantes dans l’interface du logiciel.

Vérifiez si les événements sont correctement récupérés et analysés.

Testez l’affichage et la collecte des journaux depuis l’outil.

---

Astuce

• Pour tester rapidement la connexion entre le collecteur et l’ordinateur distant, utilisez la commande suivante :

winrm quickconfig

---

Mise en garde

• Modifier les règles du pare-feu ou les permissions utilisateur peut affecter la sécurité de votre réseau. Assurez-vous d’appliquer uniquement les autorisations nécessaires.

---

Conseil

• Pour un suivi optimal, configurez des abonnements d’événements afin de filtrer uniquement les journaux critiques.

---

Références

• Support Microsoft

• Microsoft Learn

---

Conclusion

Les erreurs du Collecteur d’événements Windows peuvent être causées par une mauvaise configuration, un pare-feu bloquant la communication ou un problème de permissions. En appliquant ces solutions, vous pourrez rétablir la collecte des événements distants et assurer un suivi efficace des journaux système.