イベントID 4946 / 4947 / 4948（Windows ファイアウォールの規則の追加・変更・削除）
イベントID 4946 は、Windows ファイアウォールに、新しい規則がローカルで追加されたとき、4947 は、規則が変更されたとき、4948 は、規則が削除されたときに記録されます。公式資料では、いずれも、グループポリシーによる追加・変更・削除のときは記録されないとされています。
どこで確認するか
イベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 4946 を絞り込みます。 4947・4948 も、同じ手順で確認します。
見る項目
- Subject：操作した人
- Rule Information の Rule Name：規則の名前
- 規則の内容：許可するアプリ・ポート・方向（受信・送信）
確認の流れ
- 追加された規則が、受信を許可するものなら、アプリ・ポート・対象のアドレスの範囲を確認する。
- 心当たりのないアプリを許可している場合は、そのアプリが、導入したソフトのものか確認する。
- 4947（変更）や 4948（削除）も合わせて見て、規則の変更の流れをたどる。
PowerShell で絞り込む
直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。
Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4946,4947,4948; StartTime = (Get-Date).AddDays(-1) } |
Select-Object TimeCreated, Id, Messageセキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。
よくある質問
グループポリシーで配布した規則は記録されますか？
公式資料では、グループポリシーによる変更は、これらのイベントとして記録されないとされています。
あわせて読みたい
- 4950Windows ファイアウォールの、ローカルの設定が変更されたときの記録。無効化・プロファイルの変更の確認に使う。
- 5156接続が許可されるたびに記録される。件数が非常に多いため、必要な範囲に絞って使う。
出典・参考
- 4946(S) A change has been made to Windows Firewall exception list. A rule was added（Microsoft Learn）
- Get-WinEvent（Microsoft Learn）
社内のログ監視や、アカウント管理の見直しでお困りなら、社内IT 自己診断で、抜け漏れを点検できます。
確認日: 2026-10-28 掲載内容について