Comment détecter et analyser un écran bleu de la mort (BSOD) avec PowerShell

L’écran bleu de la mort (BSOD – Blue Screen of Death) est un terme qui fait frémir de nombreux utilisateurs d’ordinateurs. Il s’agit d’un écran d’erreur d’arrêt affiché sur un système informatique Windows après une erreur système fatale. Souvent causées par des problèmes de matériel ou de pilote, les BSOD peuvent également être déclenchées par des erreurs logicielles, entraînant un arrêt brutal des opérations du système. Comprendre et diagnostiquer ces erreurs est primordial dans le domaine informatique, et cet article se penche sur un script PowerShell conçu pour détecter et enregistrer ces arrêts inattendus.

Contexte

Le script utilise l’outil BlueScreenView de Nirsoft, un utilitaire spécialement conçu pour analyser les fichiers minidump générés lors d’un BSOD. Pour les professionnels de l’informatique et les fournisseurs de services gérés (MSP), l’automatisation du processus de détection et d’analyse de ces fichiers minidump est inestimable, car elle offre une approche systématique du dépannage.

Le script

#Requires -Version 5.1

<#
.SYNOPSIS
    Conditional script for detecting BSOD's. Uses BlueScreenView from Nirsoft.
.DESCRIPTION
    Conditional script for detecting BSOD's. Uses BlueScreenView from Nirsoft.
    Will always show the number of Unexpected shutdowns if system is setup to log those events.
        This doesn't always mean that there was a BSOD as this includes things like holding the power button or pressing the rest button.
    When a mini dump is detected in C:WindowsMinidump then this will output the results and exit with an exit code of 1.
    When none have been found then this will exit with an exit code of 0.
    When it couldn't download or extract BlueScreenView then this will exit with an exit code of 2.
.OUTPUTS
    None
.NOTES
    This should be the default, but in case this was modified instructions below.
    Minimal Setup:
        Open System Properties.
        Click on Settings under Startup and Recovery.
        Make sure that "Write an event to the system log" is checked.
        Under System failure change to "Write debugging information" to Automatic memory dump.
    Minimum OS Architecture Supported: Windows 10, Windows Server 2016
    Release Notes:
    Initial Release
    (c) 2023 NinjaOne
    By using this script, you indicate your acceptance of the following legal terms as well as our Terms of Use at https://www.ninjaone.com/terms-of-use.
    Ownership Rights: NinjaOne owns and will continue to own all right, title, and interest in and to the script (including the copyright). NinjaOne is giving you a limited license to use the script in accordance with these legal terms. 
    Use Limitation: You may only use the script for your legitimate personal or internal business purposes, and you may not share the script with another party. 
    Republication Prohibition: Under no circumstances are you permitted to re-publish the script in any script library or website belonging to or under the control of any other software provider. 
    Warranty Disclaimer: The script is provided “as is” and “as available”, without warranty of any kind. NinjaOne makes no promise or guarantee that the script will be free from defects or that it will meet your specific needs or expectations. 
    Assumption of Risk: Your use of the script is at your own risk. You acknowledge that there are certain inherent risks in using the script, and you understand and assume each of those risks. 
    Waiver and Release: You will not hold NinjaOne responsible for any adverse or unintended consequences resulting from your use of the script, and you waive any legal or equitable rights or remedies you may have against NinjaOne relating to your use of the script. 
    EULA: If you are a NinjaOne customer, your use of the script is subject to the End User License Agreement applicable to you (EULA).
#>

[CmdletBinding()]
param ()

process {
    if (-not (Test-IsElevated)) {
        Write-Error -Message "Access Denied. Please run with Administrator privileges."
        exit 1
    }

    # Get unexpected shutdown events from System log
    $UnexpectedShutdownEvents = Get-WinEvent -FilterHashtable @{LogName = 'System'; ID = 6008 }
    if ($UnexpectedShutdownEvents) {
        Write-Host "Unexpected shutdowns found: $($UnexpectedShutdownEvents.Count)"
        Write-Host ""
    }

    # Check if any minidumps exist and exit if none are found
    if (-not $(Get-ChildItem -Path "C:WindowsMinidump" -ErrorAction SilentlyContinue)) {
        Write-Host "No mini dumps found."
        exit 0
    }
    
    # Download Blue Screen View, run, and export results to a csv file
    try {
        Invoke-WebRequest -Uri $BlueScreenViewUrl -OutFile $ZipPath -ErrorAction Stop
        Expand-Archive -Path $ZipPath -DestinationPath $ENV:Temp -Force -ErrorAction Stop
        Start-Process -FilePath $ExePath -ArgumentList "/scomma ""$CsvPath""" -Wait -ErrorAction Stop
    }
    catch {
        Write-Host "Blue Screen View Command has Failed: $($_.Exception.Message)"
        # Clean Up
        Remove-DownloadedFiles -Path $CsvPath, $ZipPath, $ExePath, "$($ENV:Temp)BlueScreenView.chm", "$($ENV:Temp)readme.txt"
        exit 2
    }

    # Convert the CSV to an array of objects
    $MiniDumps = Get-Content -Path $CsvPath |
        ConvertFrom-Csv -Delimiter ',' -Header $Header |
        Select-Object -Property @{
            'n' = "Timestamp";
            'e' = { [DateTime]::Parse($_.timestamp, [System.Globalization.CultureInfo]::CurrentCulture) }
        }, Dumpfile, Reason, Errorcode, CausedByDriver

    # Clean Up
    Remove-DownloadedFiles -Path $CsvPath, $ZipPath, $ExePath, "$($ENV:Temp)BlueScreenView.chm", "$($ENV:Temp)readme.txt"

    # Output the results
    $MiniDumps | Out-String | Write-Host

    if ($MiniDumps) {
        exit 1
    }
    exit 0
}
begin {
    function Test-IsElevated {
        $id = [System.Security.Principal.WindowsIdentity]::GetCurrent()
        $p = New-Object System.Security.Principal.WindowsPrincipal($id)
        $p.IsInRole([System.Security.Principal.WindowsBuiltInRole]::Administrator)
    }
    function Remove-DownloadedFiles {
        param([string[]]$Path)
        process { Remove-Item -Path $Path -Force -ErrorAction SilentlyContinue }
    }

    # CSV Headers
    $Header = @(
        "Dumpfile"
        "Timestamp"
        "Reason"
        "Errorcode"
        "Parameter1"
        "Parameter2"
        "Parameter3"
        "Parameter4"
        "CausedByDriver"
    )

    # Build path variables
    $CsvFileName = "bluescreenview-export.csv"
    $BlueScreenViewZip = "bluescreenview.zip"
    $BlueScreenViewExe = "BlueScreenView.exe"
    $BlueScreenViewUrl = "https://www.nirsoft.net/utils/$BlueScreenViewZip"
    $ZipPath = Join-Path -Path $ENV:Temp -ChildPath $BlueScreenViewZip
    $ExePath = Join-Path -Path $ENV:Temp -ChildPath $BlueScreenViewExe
    $CsvPath = Join-Path -Path $ENV:Temp -ChildPath $CsvFileName
}
end {}

 

Résumé détaillé

1. Prérequis : Le script nécessite la version 5.1 de PowerShell et est conçu pour Windows 10 et Windows Server 2016.
2. Initialisation : Il commence par s’assurer qu’il dispose des privilèges d’administrateur, indispensables pour accéder aux journaux système et aux fichiers minidump.
3. Arrêts inattendus : Le script vérifie ensuite les événements d’arrêt inattendus dans le journal du système.
4. Vérification des minidump : Il recherche les fichiers minidump dans le répertoire désigné.
5. Intégration de BlueScreenView : Si des fichiers minidump sont détectés, le script télécharge et exécute BlueScreenView, exportant les résultats dans un fichier CSV.
6. Analyse des données : Les données CSV sont converties en un tableau de données.
7. Nettoyage : Après l’analyse, tous les fichiers téléchargés ou extraits sont supprimés.

Cas d’utilisation potentiels

Prenons l’exemple d’un professionnel de l’informatique, Alex, qui a été alerté de l’existence de BSOD récurrents dans le département design d’une entreprise. Au lieu d’examiner manuellement chaque système, Alex déploie ce script. En quelques instants, il identifie un pilote spécifique à l’origine des BSOD, ce qui permet d’apporter une solution ciblée. Ce script devient donc un outil puissant dans son arsenal de dépannage.

Comparaisons

Bien que l’observateur d’événements de Windows (Windows Event Viewer) donne des indications, il n’offre pas l’analyse détaillée des minidump que BlueScreenView fournit. Ce script comble efficacement cette lacune, en offrant une approche plus complète que les méthodes manuelles.

FAQ

• Q : Ce script peut-il fonctionner sur d’anciennes versions de Windows ?
  R : Il est optimisé pour Windows 10 et Windows Server 2016. Les versions antérieures peuvent ne pas prendre en charge toutes les fonctionnalités.
• Q : Que faire si BlueScreenView ne parvient pas à se télécharger ou à être extrait ?
  R : En cas de problème, le script sortira avec un code d’erreur de 2. Assurez-vous que vous disposez d’une connexion internet stable et de permissions suffisantes.
• Q : Comment puis-je utiliser le script sur des versions plus anciennes de Windows ?
  R : Bien que le script soit conçu pour les versions les plus récentes, il se peut que vous deviez modifier certains paramètres ou intégrer d’anciens utilitaires pour assurer la compatibilité avec les anciennes versions de Windows.

Implications en matière de sécurité

Les BSOD ne sont pas seulement une nuisance, ils peuvent aussi constituer un problème de sécurité. Un BSOD récurrent peut être le signe d’une entité malveillante qui tente de compromettre le système. En enregistrant et en analysant ces événements, les professionnels de l’informatique peuvent identifier les menaces potentielles et garantir la sécurité du système.

Recommandations

• Exécutez toujours le script avec les privilèges d’un administrateur afin d’en garantir la pleine fonctionnalité.
• Mettez régulièrement à jour l’outil BlueScreenView afin de tirer parti de ses dernières fonctionnalités et d’assurer sa compatibilité.
• Surveiller les systèmes pour détecter les BSOD récurrents, car ils peuvent indiquer des problèmes de sécurité plus profonds.

Conclusions

Dans le monde dynamique de l’informatique, des outils tels que NinjaOne, combinés à des scripts comme celui présenté ici, permettent aux professionnels de maintenir l’état et la sécurité des systèmes. La détection et l’analyse des journaux BSOD et des arrêts inattendus deviennent un processus rationalisé, garantissant des opérations efficaces et sûres.