イベントID 5157（Windows フィルタリング プラットフォームが接続をブロックした）とは

イベントID 5157 は、Windows フィルタリング プラットフォーム（WFP）が、接続をブロックしたときに記録されます。業務のアプリが、通信できないときの調査や、外部からの不審な接続の試みの確認に使えます。

どこで確認するか

イベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 5157 を絞り込みます。

見る項目

• Application Information：ブロックされたアプリ
• Network Information：方向、接続元・接続先のアドレスとポート、プロトコル
• Filter Information：ブロックしたフィルター

確認の流れ

1. 業務のアプリの通信が、ブロックされていないか確認する。
2. ブロックしたフィルターの内容を調べ、規則（4946 の記録など）と対応づける。
3. 外部からの受信が、大量にブロックされている場合は、外部公開のサービスや、接続元のアドレスを確認する。

PowerShell で絞り込む

直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 5157; StartTime = (Get-Date).AddDays(-1) } |
  Select-Object TimeCreated, Id, Message

セキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。

よくある質問

あわせて読みたい

• 5156接続が許可されるたびに記録される。件数が非常に多いため、必要な範囲に絞って使う。
• 4946Windows ファイアウォールの規則が、ローカルで追加（4946）・変更（4947）・削除（4948）されたときの記録。

出典・参考

• 5157(F) The Windows Filtering Platform has blocked a connection（Microsoft Learn）
• Get-WinEvent（Microsoft Learn）

確認日: 2026-10-28　掲載内容について