【Windows】ファイアウォールの詳細設定にある監視機能を使いリアルタイムの通信を追跡する手順

業務中に特定のアプリケーションがどのサーバーと通信しているのか、あるいは不審な通信が発生していないか確認したい場合があるでしょう。

Windowsに搭載されている通信の壁には、詳細な監視機能があり、リアルタイムの通信状況を追跡できます。

この記事では、Windows 11を基準に、この監視機能を使って通信アクティビティを詳細に確認する具体的な手順を解説します。

Windows通信の壁監視機能の概要と活用メリット

Windowsの通信の壁、正式にはWindows Defender通信の壁は、パソコンへの不正なアクセスや悪意のある通信を防ぐセキュリティ機能です。

この通信の壁には、通信の許可・拒否だけでなく、実際に発生している通信を記録する監視機能が備わっています。

この機能を使うと、どのアプリケーションが、いつ、どのIPアドレスと通信を試みたかといった詳細な情報をログとして確認できます。

これにより、不審な通信の特定、アプリケーションの通信許可状況の確認、ネットワークトラブルシューティングなど、さまざまな場面で役立つでしょう。

特にビジネス環境では、情報漏洩のリスクを低減したり、ネットワークの安定稼働を維持したりするために、通信状況の把握は不可欠です。

Windowsの通信の壁でリアルタイム通信を追跡する手順

ここでは、Windows 11を基準に、通信の壁のログ設定を有効にし、イベントビューアーで通信履歴を確認する手順を解説します。

Windows 10の場合も、同様の操作で設定できますが、一部メニュー名や表示が異なる場合があります。

通信の壁のログ設定を有効にする

1. 「Windows Defender通信の壁」を開く
   タスクバーの検索ボックスに「通信の壁」と入力し、「Windows Defender通信の壁」を選択して開きます。
2. 「詳細設定」に進む
   画面左側の「詳細設定」をクリックします。これにより「セキュリティが強化されたWindows Defender通信の壁」が開きます。
3. 「プロパティ」を開く
   「セキュリティが強化されたWindows Defender通信の壁」の画面中央にある「Windows Defender通信の壁のプロパティ」をクリックします。
4. ログ設定を構成する
   「Windows Defender通信の壁のプロパティ」ダイアログが表示されます。「ドメインプロファイル」「プライベートプロファイル」「パブリックプロファイル」のタブが並んでいます。通常は現在適用されているプロファイル、またはすべてのプロファイルで設定します。
5. 「ログ記録」セクションを編集する
   各プロファイルタブの下部にある「ログ記録」セクションの「カスタマイズ」ボタンをクリックします。
6. ログ記録を有効にする
   「ログ記録の設定」ダイアログが開きます。
   「ドロップされたパケットのログ」を「はい」に設定します。
   「成功した接続のログ」を「はい」に設定します。
   これにより、通信の壁によってブロックされた通信と、許可された通信の両方がログに記録されるようになります。
7. ログファイルのパスとサイズを設定する
   「名前」欄にログファイルの保存パスが表示されます。必要に応じて「参照」ボタンで変更できます。
   「最大サイズ MB」でログファイルの最大サイズを設定できます。既定値の4MBは小さい場合があるため、監視期間に応じて増やすことを検討してください。
8. 設定を適用する
   「OK」をクリックして「ログ記録の設定」ダイアログを閉じ、「適用」をクリックしてから「OK」をクリックして「Windows Defender通信の壁のプロパティ」を閉じます。

イベントビューアーで通信ログを確認する

1. 「イベントビューアー」を開く
   タスクバーの検索ボックスに「イベントビューアー」と入力し、「イベントビューアー」を選択して開きます。
2. 「セキュリティ」ログにアクセスする
   イベントビューアーの左側のツリーから「Windowsログ」を展開し、「セキュリティ」をクリックします。
3. 通信の壁イベントをフィルターする
   右側の操作ペインにある「現在のログをフィルター」をクリックします。
4. イベントIDを指定する
   「現在のログをフィルター」ダイアログで、「<すべてのイベントID>」の欄に以下のイベントIDを入力します。

   許可された通信のログ: 5156
   ブロックされた通信のログ: 5157

   両方を監視する場合は、5156, 5157のようにカンマで区切って入力します。

5. フィルターを適用する
   「OK」をクリックすると、指定したイベントIDに絞り込まれた通信の壁のログが表示されます。
6. ログの詳細を確認する
   表示された各イベントをダブルクリックすると、「イベントのプロパティ」ウィンドウが開き、詳細な情報(発信元IPアドレス、宛先IPアドレス、ポート番号、アプリケーションパスなど)を確認できます。

高度なセキュリティで一時的な監視ルールを作成する

特定のアプリケーションやポートの通信を一時的に詳細に監視したい場合は、高度なセキュリティの通信の壁でルールを作成する方法が有効です。

1. 「セキュリティが強化されたWindows Defender通信の壁」を開く
   タスクバーの検索ボックスに「通信の壁」と入力し、「Windows Defender通信の壁」を選択し、「詳細設定」をクリックします。
2. 新しいルールを作成する
   左側のペインで「受信の規則」または「送信の規則」のいずれかをクリックします。その後、右側の操作ペインで「新しい規則」をクリックします。
3. 「カスタム」ルールを選択する
   「新規の受信の規則ウィザード」または「新規の送信の規則ウィザード」が開始されます。「規則の種類」で「カスタム」を選択し、「次へ」をクリックします。
4. プログラムとプロトコルを設定する
   「プログラム」では、監視したい特定のアプリケーションのパスを指定します。すべてのプログラムを監視する場合は「すべてのプログラム」を選択します。
   「プロトコルおよびポート」では、監視したいプロトコル(TCP、UDPなど)とローカルポート、リモートポートを指定します。特定の通信を追跡する場合は、その通信が使用するポート番号を指定します。
5. スコープを設定する
   「スコープ」では、この規則が適用されるローカルIPアドレスとリモートIPアドレスを指定します。特定のIPアドレスからの通信のみを監視する場合に設定します。
6. 操作を設定する
   「操作」では、「接続を許可する」「接続をブロックする」「セキュリティで保護されている場合、接続を許可する」のいずれかを選択します。監視目的であれば、通常は「接続を許可する」を選択し、ログ記録を有効にしておきます。
7. プロファイルを適用する
   「プロファイル」では、ドメイン、プライベート、パブリックのどのネットワークプロファイルにこの規則を適用するか選択します。
8. 規則の名前と説明を設定する
   規則に識別しやすい名前と説明をつけ、「完了」をクリックします。
9. 規則のログ記録設定を確認する
   作成した規則をダブルクリックし、「プロパティ」を開きます。「詳細設定」タブに移動し、「ログ記録」セクションの「カスタマイズ」ボタンをクリックします。
   「この規則でログ記録を有効にする」にチェックが入っていることを確認します。チェックが入っていない場合は、チェックを入れて「OK」をクリックします。

通信の壁の監視で注意すべき点とよくある問題

通信の壁の監視機能は強力ですが、運用上の注意点や発生しやすい問題があります。

ログファイルが肥大化してしまう

通信の壁のログ記録を有効にすると、大量の通信が発生する環境ではログファイルが急速に大きくなることがあります。

ログファイルがシステムドライブを圧迫すると、パフォーマンス低下やシステム不安定化の原因となる場合があります。

対処法: ログ記録設定の「最大サイズ MB」で、ログファイルのサイズ上限を適切に設定してください。

また、定期的にログファイルを別の場所に移動したり、不要な古いログを削除したりする運用を検討しましょう。

監視が終了したら、ログ記録を無効に戻すことで、無駄なログ記録を防げます。

必要な情報が見つからない

イベントビューアーでログを確認しても、探している特定の通信イベントが見つからない場合があります。

これは、ログ記録の設定が不十分であるか、フィルター設定が適切でないことが原因です。

対処法: まず、通信の壁のログ設定で「ドロップされたパケットのログ」と「成功した接続のログ」の両方が「はい」になっているか再確認してください。

イベントビューアーのフィルター設定で、正しいイベントID(5156、5157)が指定されているか、期間が適切に設定されているかを確認します。

また、特定のアプリケーションの通信を追跡する場合は、そのアプリケーションが通信を試みた時間帯を絞り込んで検索すると効率的です。

Windows 10での操作の違い

Windows 11とWindows 10では、通信の壁の設定画面やイベントビューアーの表示に若干の違いがあります。

基本的な機能や設定項目は同じですが、メニューの配置やダイアログのデザインが異なるため、戸惑うことがあるかもしれません。

対処法: Windows 10では、「コントロールパネル」から「Windows Defender通信の壁」を開き、そこから「詳細設定」に進むのが一般的です。

「Windows Defender通信の壁」の画面左側にある「Windows Defender通信の壁を介したアプリまたは機能を許可」や「詳細設定」などのリンクから、必要な設定画面にたどり着くことができます。

イベントビューアーの操作はWindows 11とほぼ同じですが、検索ボックスでの「イベントビューアー」の表示が異なる場合があります。

Windows 11とWindows 10の通信の壁ログ機能の比較

項目	Windows 11	Windows 10
設定画面の名称	「Windows Defender通信の壁」から「詳細設定」	「コントロールパネル」から「Windows Defender通信の壁」
ログファイルの種類	テキスト形式のログファイル	テキスト形式のログファイル
イベントビューアーでの表示	「セキュリティ」ログでイベントID 5156/5157	「セキュリティ」ログでイベントID 5156/5157
既定のログ設定	ログ記録は既定で無効	ログ記録は既定で無効
詳細設定画面のデザイン	フラットなUIデザイン	ややクラシックなUIデザイン

まとめ

この記事で解説した手順により、Windowsの通信の壁の監視機能を活用し、リアルタイムの通信状況を詳細に追跡できるようになります。

通信の壁のログ設定を有効にし、イベントビューアーで特定のイベントIDをフィルターすることで、許可された通信とブロックされた通信の両方を把握できます。

この機能は、ネットワークトラブルの原因特定、不審な通信の発見、アプリケーションの動作確認など、多岐にわたる場面で役立つでしょう。

ログファイルサイズの管理やイベントIDの正確な指定に注意しながら、Windowsの通信の壁の高度な監視機能を活用し、システムのセキュリティと安定性を強化してください。