イベントID 4950（Windows ファイアウォールの設定が変更された）の見方

イベントID 4950 は、Windows ファイアウォールのローカルの設定が変更されたときに記録されます。公式資料では、グループポリシーによる設定の変更では記録されないとされています。ファイアウォールが無効にされていないかを確認する手がかりになります。

どこで確認するか

イベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 4950 を絞り込みます。

見る項目

• Subject：変更した人
• Changed Setting：変更された設定
• New Value：新しい値

確認の流れ

1. ファイアウォールが、無効になっていないか確認する。
2. 変更した人と時刻が、作業の予定と合っているか確認する。
3. 心当たりがない場合は、同じ時間帯のログオンと、特権の割り当てを調べる。

PowerShell で絞り込む

直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4950; StartTime = (Get-Date).AddDays(-1) } |
  Select-Object TimeCreated, Id, Message

セキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。

よくある質問

あわせて読みたい

• 4946Windows ファイアウォールの規則が、ローカルで追加（4946）・変更（4947）・削除（4948）されたときの記録。
• 5157接続がブロックされるたびに記録される。ブロックの理由・対象のアプリの確認に使う。

出典・参考

• 4950(S) A Windows Firewall setting has changed（Microsoft Learn）
• Get-WinEvent（Microsoft Learn）

確認日: 2026-10-28　掲載内容について