Jak odczytać dziennik zapory Windows

Zapora systemu Windows posiada wbudowaną funkcję rejestrowania zdarzeń. Domyślnie nie zapisuje żadnego ruchu, ale administrator może włączyć logowanie odrzuconych pakietów, udanych połączeń lub obu rodzajów. Gdy logowanie jest włączone, Windows tworzy pliki pfirewall.log w katalogu logów.

Krok 1 – odnalezienie katalogu dziennika

Otwórz katalog logów zapory, wpisując w menu Start %windir%\\system32\\logfiles\\firewall\\ i naciśnij Enter. W starszych wersjach Windows użyj polecenia Uruchom (Win+R) i wprowadź tę samą ścieżkę.

Krok 2 – otwarcie pliku

W Eksploratorze znajdź najnowszy plik pfirewall.log i dwukrotnie kliknij go, aby otworzyć w Notatniku. Starsze dzienniki mają nazwę pfirewall.log.old – również można je otworzyć w Notatniku.

Krok 3 – interpretacja danych

Na początku pliku znajduje się wiersz Fields, określający kolejność pól w kolejnych rekordach, np. Fields: date time src-ip src-port dst-ip dst-port protocol action. Dzięki temu wiesz, co oznaczają kolejne wartości w każdej linii.

Po wierszu Fields znajdują się faktyczne wpisy – odczytuj je zgodnie z opisanym schematem.

Wskazówki

• Pliki dziennika są zapisane w formacie W3C Extended Log File, więc można je przeglądać także przy pomocy zewnętrznych narzędzi obsługujących ten format.
• Logowanie jest domyślnie wyłączone – aby włączyć je w zaporze, należy skonfigurować odpowiednie ustawienia w panelu Zaporę systemu Windows (zakładka „Logowanie” w zaawansowanych ustawieniach).