Event ID 5033 Windows Server, AD и Роли

Event ID 5033: The Windows Firewall Driver has started successfully — анализ

Обновлено: 28.08.2026 · Официальная база знаний

Что означает событие Event ID 5033

Событие Event ID 5033 регистрируется на уровне ядра операционной системы и подтверждает, что низкоуровневый системный драйвер брандмауэра Windows (mpsdrv.sys) и платформа фильтрации Windows Filtering Platform (WFP) были успешно загружены и перешли в рабочее состояние.

Значение для инфраструктуры

Событие фиксируется на раннем этапе загрузки Windows до старта большинства служб.
Гарантирует защиту сетевого интерфейса от несанкционированного трафика в процессе инициализации ОС.
Исключает сетевые уязвимости в момент перехода системы из режима начальной загрузки в рабочий режим.

Проверка состояния драйвера ядра mpsdrv.sys

Справка: Драйвер mpsdrv.sys работает на уровне ядра (Ring 0) и отвечает за аппаратный перехват и фильтрацию сетевых пакетов.

Проверка состояния системного драйвера через командную строку:
Запустите утилиту SC для проверки статуса драйвера:
```
sc query mpsdrv
```
Статус должен иметь значение RUNNING.
Проверка целостности файла драйвера mpsdrv.sys:
Убедитесь, что файл драйвера в C:\Windows\System32\drivers\mpsdrv.sys не поврежден:
```
Get-FileHash -Path "C:\Windows\System32\drivers\mpsdrv.sys" -Algorithm SHA256
```
Устранение конфликтов с антивирусными NDIS-фильтрами:
При ошибках загрузки драйвера проверьте свойства сетевого адаптера на наличие устаревших фильтров сторонних сетевых экранов.

Практический опыт инженера: Отсутствие события 5033 при старте Windows Server с последующим появлением сетевых ошибок указывает на повреждение хранилища компонентов WinSxS или конфликт со сторонними гипервизорами.

Частые вопросы (FAQ)

В чем отличие события 5033 от события 5024?

Событие 5033 регистрирует запуск низкоуровневого драйвера ядра mpsdrv.sys, а 5024 — запуск пользовательской службы MpsSvc (svchost.exe).

Что делать, если драйвер mpsdrv не запускается?

Выполните восстановление системных компонентов через DISM: DISM /Online /Cleanup-Image /RestoreHealth и проверку SFC.

Можно ли отключить драйвер mpsdrv в реестре?

Категорически не рекомендуется — изменение параметра Start в реестре на значение 4 приведет к сбою сетевого стека и потере связи.

Какая подкатегория аудита отвечает за логирование 5033?

Аудит изменения системных правил и состояния платформы фильтрации (Audit System Integrity).