Aller au contenuAller à l'arborescence
Arborescence Windows
  1. C:
  2. Windows
  3. System32
  4. winevt
  5. Logs
  6. Microsoft-Windows-Windows Firewall With Advanced Security%4Firewall.evtx
JournalRisque : Prudence

Microsoft-Windows-Windows Firewall With Advanced Security%4Firewall.evtx C:\Windows\System32\winevt\Logs\Microsoft-Windows-Windows Firewall With Advanced Security%4Firewall.evtx

Journal du Pare-feu Windows (canal Firewall) : ajout (2004), modification (2005) et suppression (2006) de règles ; ne trace pas les paquets bloqués.

Mis à jour le Par AltF4 Formation

À quoi ça sert

Canal « Microsoft-Windows-Windows Firewall With Advanced Security/Firewall ». Il garde l’historique des changements de configuration du pare-feu : qui a ajouté, modifié ou supprimé une règle, et quand. Il ne contient pas le trafic bloqué ou autorisé, qui se journalise ailleurs.

Ce qu’il contient

  • 2004 : règle ajoutée (nom, application, ports, profil, action).
  • 2005 : règle modifiée.
  • 2006 : règle supprimée.
  • 2003 : paramètre de profil modifié (activation, comportement par défaut).
  • Les événements indiquent le processus ou le compte à l’origine de la modification.

Risques et bonnes pratiques

  • Pour savoir pourquoi un flux est refusé, ce n’est pas ici : activez la journalisation des connexions bloquées dans pfirewall.log, ou l’audit de la plateforme de filtrage (événements 5152 et 5156 du journal Sécurité).
  • Sur un parc, les règles posées par stratégie de groupe apparaissent aussi dans ce journal lors de leur application ; cherchez le compte qui a modifié une règle en local pour repérer un contournement.
  • Une règle ajoutée par une application lors de son installation (2004) est normale ; une règle d’autorisation entrante inconnue ne l’est pas.

Commandes utiles

Fenêtre de terminal
# Ajouts, modifications et suppressions de règles sur 30 jours
Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-Windows Firewall With Advanced Security/Firewall'; Id=2004,2005,2006; StartTime=(Get-Date).AddDays(-30)} |
    Select-Object TimeCreated, Id, Message


# Paramètres de journalisation du pare-feu (pfirewall.log)
Get-NetFirewallProfile | Select-Object Name, Enabled, LogAllowed, LogBlocked, LogFileName


# Activer la journalisation des connexions bloquées (en administrateur)
netsh advfirewall set allprofiles logging droppedconnections enable

Format

Fichier binaire XML (.evtx). Le « / » du nom de canal devient « %4 » dans le nom du fichier.

Rotation et archivage

Taille maximale et comportement à saturation se règlent dans les propriétés du journal ou par stratégie de groupe ; wevtutil gl affiche la configuration et wevtutil epl exporte le journal vers un .evtx.

Comment le lire

Observateur d’événements, « Journaux des applications et des services », « Microsoft », « Windows », « Windows Firewall With Advanced Security », « Firewall ». Filtrez sur 2004, 2005 et 2006 et lisez le nom de règle et le chemin d’application dans le message.

Signaler une erreur