Архитектура платформы фильтрации (WFP) и аудит трафика

Событие 5156 логируется в журнале Security источником подсистемы безопасности. Сообщение: "Платформа фильтрации Windows разрешила подключение (The Windows Filtering Platform has permitted a connection)". Windows Filtering Platform (WFP) — это низкоуровневый сетевой стек, на базе которого работает Брандмауэр Защитника Windows (Windows Defender Firewall) и сторонние антивирусы. При включении аудита успешных подключений система начинает фиксировать каждый исходящий и входящий сетевой пакет (TCP/UDP сессию), который был разрешен правилами фаервола.

Назначение события 5156 в информационной безопасности:

Событие 5156 используется Threat Hunting командами (SOC) для анализа сетевой активности процессов. С его помощью можно выявить факт коммуникации легитимного системного процесса (например, powershell.exe или wscript.exe) с внешним Command and Control (C2) сервером хакеров, или зафиксировать эксфильтрацию корпоративных данных в облако.

Сценарии аудита и анализа сетевых подключений (Network Forensics)

Сценарий 1: Профилирование внешних подключений подозрительного процесса

Анализ сетевой активности конкретного исполняемого файла через PowerShell (поиск исходящих сессий).

# Поиск всех разрешенных внешних подключений (не локальная сеть) от PowerShell
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=5156; StartTime=(Get-Date).AddDays(-1)} | 
    Where-Object {$_.Properties[1].Value -match 'powershell.exe' -and $_.Properties[5].Value -notmatch '^192\.168|^10\.|^172\.'} | 
    Select-Object TimeCreated, 
    @{N='Process';E={$_.Properties[1].Value}}, 
    @{N='DestIP';E={$_.Properties[5].Value}}, 
    @{N='DestPort';E={$_.Properties[6].Value}} | Format-Table -AutoSize

Сценарий 2: Управление шумом (Log Noise) и отключение аудита WFP

Включение аудита WFP генерирует гигантский объем логов (сотни событий в секунду), что может привести к перезаписи журнала Security за считанные минуты и исчерпанию диска C:. Если вы включили его по ошибке, отключите аудит WFP.

1. Откройте командную строку от имени Администратора.
2. Проверьте текущие настройки: auditpol /get /subcategory:"Подключение платформы фильтрации".
3. Отключите аудит разрешенных подключений (оставьте только блокировки для траблшутинга):

   auditpol /set /subcategory:"Подключение платформы фильтрации" /success:disable /failure:enable

Типовые ошибки администраторов

• Попытка использовать Event Viewer для анализа 5156: Стандартная консоль Просмотра событий (eventvwr.msc) зависнет при попытке загрузить и отфильтровать сотни тысяч событий 5156. Для анализа сетевого аудита WFP необходимо использовать специализированные SIEM-системы (Splunk, Elastic) или утилиты командной строки (LogParser).