Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows

Модерирует : KLASS, IFkO

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55

Открыть новую тему     Написать ответ в эту тему

KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
  • Из описания темы видно, что речь пойдет о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии,
    вся "борьба" с которой сводится к отключению\перенастройке почти всех правил Microsoft.
    Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.
     
  • Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности.
    ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:
       
    Отключаем или удаляем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP)
    Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик)
    и Основы сетей - DNS (UDP - исходящий трафик), но оставив это правило DNS помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд.
    Потому для верности, создавайте правила DNS для каждой программы из белого списка, а правило Основы сетей - DNS (UDP - исходящий трафик) предпочтительно тоже отключить.
    Отключив правило, обязательно отключите службу DNS-клиент
    Все, Интернета - нет, как и нет любых других соединений (кроме DHCP), включая телеметрию. Чтобы убедиться в этом используйте Wireshark.
    После такой настройки, обновления автоматически устанавливаться не будут. Для систем ниже Windows 10 сначала обновите систему, а потом настраивайте правила брандмауэра.
    Последующие обновления устанавливайте ручками.
    Актуальный список обновлений для Windows 10 и рекомендации по обновлению Windows 7 SP1
    История кумулятивных обновлений для разных версий Windows 10
     
  • Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. По другому, будем создавать белый список приложений.
    Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.
     
  • Для того, чтобы быстро разобраться какой программе, что нужно открыть в брандмауэре, можно использовать приложение Process Hacker с надстройками.
    Текущая английская сборка от Victor_VG или локализованная сборка от KLASS для Windows 10 версии не ниже 1607 Build 14393.
    Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" (на Windows 7 не работает, используйте набор NetworkTrafficView_russian) и
    запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим к каким портам,
    удаленным адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения.
     
  • Как добавлять правила в брандмауэр используя командную строку (команда netsh).
     
  • Контекстное меню в проводнике для файлов .EXE, при помощи которого можно добавлять правила в брандмауэр (Shift+ПКМ).
     
  • Не лишним будет добавление в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.
     
  • Импортируйте свои правила при каждом входе в систему через Планировщик, т.к. правила от M$ могут быть восстановлены при очередном обновлении
     
  • Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)
     
  • Также, для удобства создания правил, есть другой инструмент Windows Firewall Control.
    Это надстройка, которая работает в системном трее на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws,
    без необходимости переходить в определённые окна настроек брандмауэра.
     
  • Включить аудит Платформы фильтрации IP-пакетов
     
  • Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell
     
  • Проверка брандмауэра на наличие уязвимостей
     
  • Смежные темы:
    Настройка персональных файерволов (firewall rules)
    Бесконтрольность Windows 10
    Быстрая настройка Windows
     
  • Шапку и около-темные вопросы обсуждаем здесь

Всего записей: 7060 | Зарегистр. 12-10-2001 | Отправлено: 20:59 05-03-2017 | Исправлено: KLASS, 00:36 09-06-2018
YCampas

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
2all
 
Как вы, люди, не понимаете, что бесполезно в родном виндовом файрволе что-то настраивать, потому что как только вы что-то измените, заблокируете порт или удалите ненужные правила, система при запуске тут же все восстановит нафиг; приложения также, как только они видят, что их "перенастроили", они тут же, все восстанавливают на круги своя, как им нужно для работы.
 
Я не придумываю. Вот у меня в системе постоянно открыт порт 2869/tcp. Вы думаете его возможно вот так легко закрыть? Это невозможно. Как только вы с его правилами что-то сделаете, при следующем заходе в систему она все нафиг восстановит до изначального состояния. Делайте выводы.
 
Винду не перехитришь.




Либо по существу, либо... в топку

Всего записей: 61 | Зарегистр. 11-07-2014 | Отправлено: 19:13 13-01-2018 | Исправлено: KLASS, 23:23 13-01-2018
fakel33



Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Пытаюсь настроить в Windows 10 1607 LTSB брандмауэр.
Не могу настроить правило для ping и tracert (ICMP4) - правило создал, а ping выдает что не может обнаружить узел.


Всего записей: 789 | Зарегистр. 22-08-2003 | Отправлено: 19:17 13-01-2018
shadow_member



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
fakel33
Цитата:
В системах Windows 10, 8.1, 7 для пингования внешних адресов нужно разрешить исходящие ICMPv4 и ICMPv6 для System (создать два правила), а не для ping.exe.
Возможно, выход System у тебя закрыт другим правилом (запрещающие правила имеют приоритет над разрешающими, расположение правил выше-ниже роли не играет.
Осваивай, будет значительно нагляднее и понятнее.

Всего записей: 15224 | Зарегистр. 18-07-2006 | Отправлено: 19:57 13-01-2018
fakel33



Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
shadow_member
Спасибо, за совет!
Создал правило для ICMPv6 аналогично ICMPv4, но результат тот же.
Вот все мои правила (пока). Все остальное работает.

Всего записей: 789 | Зарегистр. 22-08-2003 | Отправлено: 20:15 13-01-2018
fakel33



Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Убрал в настройке "Основы сетей - DNS (UDP - исходящий трафик)" область -"DNS-серверы" и ping начал работать.
Почему не понятно?

Всего записей: 789 | Зарегистр. 22-08-2003 | Отправлено: 22:32 13-01-2018
YCampas

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Как вы, люди, не понимаете, что бесполезно в родном виндовом файрволе что-то настраивать,


Цитата:
Либо по существу, либо... в топку

 
Так я и пишу по существу: невозможно закрыть порт в винде принципе, софт с правами админа, в точности система, все равно откроет его, изменит правила на свое усмотрение, так, как ей нужно для работы. И ничего с этим не поделать. Если кто не согласен, так пусть возразит. Я для информации написал, чтобы люди знали. А то создают/изменяют правила и думают, что они в безопасности после этого.

Всего записей: 61 | Зарегистр. 11-07-2014 | Отправлено: 08:34 14-01-2018
Valery_Sh



Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
YCampas
 
СтОило бы добавить: на той же машине в приницпе невозможно гарантировать 100% фильтрацию  - это лишь один из "слоёв стенки", предварительный, ткскзть.
 
Памятуя о том, что в нынешних PCH на материнках свой контроллер с собственным сетевым стеком, говорить о 100% защите брандмауэром в ОС ....
 
Инфа для размышления тем, кто надеется на фильтрацию по MAC на шлюзе(роутере).

Всего записей: 1461 | Зарегистр. 30-06-2008 | Отправлено: 12:54 14-01-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
YCampas
То, что вынь меняет правила при установке обновлений (не при каждой загрузке), это не новость.
Делаем импорт своих правил при каждом входе в систему через планировщик.
К тому же в шапке сказано

Цитата:
Не лишним будет добавление в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.  

Так как при загрузке, еще до входа в систему, брандмауэр пропускает несколько IP и это тоже не новость.
Ну, а при входе в систему, включаем Инет, а правила уже залились свои.
На этом все.

Всего записей: 7060 | Зарегистр. 12-10-2001 | Отправлено: 13:32 14-01-2018
YCampas

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
То, что вынь меняет правила при установке обновлений (не при каждой загрузке), это не новость.  

 
Не при установке обновлений, а как только обнаружит, что правило изменено; и именно что при заходе в систему. Вот только вчера тесты проводил.
 
Порт 2869/TCP UPnP закрыть в принципе невозможно. Правило для него создано виндой для обоих профилей и есть в ее файрволле. Закрываю этот порт или создаю перекрывающее правило, выхожу из системы, а потом захожу вновь, результат: порт опять открыт в правиле для профиля, который сейчас активен.
 
Если у вас не так, могу фотку этого правила запостить.

Всего записей: 61 | Зарегистр. 11-07-2014 | Отправлено: 14:07 14-01-2018 | Исправлено: YCampas, 14:08 14-01-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
YCampas
Версия ОС и название правила в студию.
Вы вообще исходящие отключили полностью?

Всего записей: 7060 | Зарегистр. 12-10-2001 | Отправлено: 14:13 14-01-2018
MrFilth



Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
YCampas

Цитата:
Как вы, люди, не понимаете, что бесполезно в родном виндовом файрволе что-то настраивать

Для таких случаев можно использовать Windows Firewall Control так как там имеется защита правил. Если и будет создано заново какое либо правило можно в настройках указать что с ним дальше делать... (удалить или отключить)  

 
Если конечно не жалко до 50 мб озу))
 

Всего записей: 229 | Зарегистр. 14-12-2017 | Отправлено: 14:26 14-01-2018 | Исправлено: MrFilth, 14:35 14-01-2018
YCampas

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Версия ОС и название правила в студию.
Вы вообще исходящие отключили полностью?

 
Win7x64ProRus. Название "UPnP TCP 2869". Их там две штуки для двух профилей. Исходящие не отключаю. В виндовом файере запрещающие правила имеют приоритет.
 

Цитата:
Для таких случаев можно использовать Windows Firewall Control так как там имеется защита правил.

 
Это уже кое-что.

Всего записей: 61 | Зарегистр. 11-07-2014 | Отправлено: 14:55 14-01-2018 | Исправлено: YCampas, 14:57 14-01-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
YCampas
Правило то какое у вас восстанавливается?
А исходящие надо отключать полностью, все правила тоже (либо удалять)
и настраивать фаер под себя. Вы шапку то вообще читали?

Всего записей: 7060 | Зарегистр. 12-10-2001 | Отправлено: 14:58 14-01-2018 | Исправлено: KLASS, 14:58 14-01-2018
YCampas

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Правило то какое у вас восстанавливается?

 
То, что я выше привел - "UPnP TCP 2869". Вот и выходит, что винда и с софт с админ правами следят, чтобы их правила не меняли, и восстанавливают их в противном случае, а мы тоже должны иметь свой софт, который будет висеть в фоне и контролировать на предмет изменений наши правила, и если они изменяются, то восстанавливать их обратно. И смех и грех.
 
Белый список - это частный случай тонкой настройки. Не вижу в моем замечании офтопика. Больше нечего обсуждать.

Всего записей: 61 | Зарегистр. 11-07-2014 | Отправлено: 15:32 14-01-2018 | Исправлено: YCampas, 15:32 14-01-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
YCampas
Сначала настройте брандмауэр по рекомендациям из шапки, потом свое фи сюда, до тех
пор вы оффтопите. У меня нет в фоне сторонних программ и правила от мелких
не восстанавливаются при каждой перезагрузке. Даже, если бы и восстанавливались,
то уже сказал, при входе в системе через 30 секунд заливаются свои правила.

Цитата:
Больше нечего обсуждать.

Нечего было обсуждать с самого первого вашего поста здесь.
Потому замечание и сделано.

Всего записей: 7060 | Зарегистр. 12-10-2001 | Отправлено: 15:38 14-01-2018
uncleShi



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Valery_Sh
Цитата:
Инфа для размышления тем, кто надеется на фильтрацию по MAC на шлюзе(роутере).
Как-то там "попахивает желтизной" не над чем размышлять в топике. Лет 15 более 1000 ПК наблюдал, платы сетевые всякие-разные, на каждом порту коммутатора "port-security maximum 1" + жестко прописанный MAC, ничего подобного ни разу. Больше похоже на RAS или ICS у него.
P.S.
А чтоль есть ещё кто-то, "кто надеется на фильтрацию по MAC" именно в плане секурности?

Всего записей: 2560 | Зарегистр. 29-05-2003 | Отправлено: 22:43 14-01-2018
danetz

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS или кто-нибудь обьясните плиз - те правила из шапки, что мы оставляем, к какому процессу относятся? К тому же svchost только выделяют из него специальный трафик? Или это правило для дочерних процессов svchost если смотреть по диспетчеру задач? Нельзя ли выделить вредный трафик по номеру порта источнка (где порт назанчения 53) или эти порты динамические?? Или я сейчас вобще ерунду спросил? У меня нет четкого понимания сетевых технологий просто.

Всего записей: 130 | Зарегистр. 25-02-2012 | Отправлено: 16:12 15-01-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
danetz
Ну да svchost, в части служб (библиотек dll) DHCP-клиент и DNS-клиент, работающие через 67 и 53 удаленные порты, соответственно.

Всего записей: 7060 | Зарегистр. 12-10-2001 | Отправлено: 16:28 15-01-2018
Victor_VG



Tracker Mod
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
danetz
 
Если вы блокируете трафик сервера имён (DNS), то вы теряете возможность использовать символические имена в виде <host>.<domain>.<zone> и для соединения вам придётся указывать IP удалённой машины. Но, можно и нужно ограничить адреса DNS серверов к которым может обращаться ваша машина. Это позволит избежать атаки с подменой DNS. Чтобы посторонний не мог подставить ложный сервер имён нужно избегать  использования символических имён серверов DNS (эту ошибку часто делают неопытные техники при настройке BIND DNS - их логика проста "IP нужных мне DNS я не знаю, но их знает DNS сервер провайдера, потому задам имена DNS как обычных машин и BIND сам разберётся с адресами!") - адреса DNS всегда надо указывать явно в виде списка IP, причём разумнее всего указывать DNS провайдера последним в списке так как его просмотри идёт от начала к концу.
 
С DHCP проще - указываете IP того DHCP который работает в вашей локальной сети так этот сервис предназначен для настройки машин внутри сети и если вы по ошибке воспользуетесь внешним по отношению к вашей сети DHCP то её работа может стать невозможной. Идея проверки DHCP по IP проста - его IP должен находится в диапазоне IP используемых в вашей сети. Если сеть многосегментная и сегменты соединены через маршрутизаторы, то для снижения риска ошибок настройки используем в каждом сегменте свой DHCP. Выход управления DNS/DHCP за пределы сегмента и локальной  сети в целом в  любом случае должен быть исключён - управление сетью должно осуществляться с одной из машин находящейся во внутреннем контуре сети, а её выход наружу должен осуществляться через цепочку NAT для усложнения задачи взломщика.

Всего записей: 21166 | Зарегистр. 31-07-2002 | Отправлено: 17:09 15-01-2018 | Исправлено: Victor_VG, 17:14 15-01-2018
danetz

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
а как выбираются порты на локальном пк? можно ли например в задать правило вроде исходящий из мой_айпи:какой-то_мой_порт в любой_айпи:порт53 и тем самым перектыть весь паразитный трафик? Тоесть вы задаете службой правило, а можно ли по-другому-портом?
 
Добавлено:

Цитата:
Victor_VG

У меня роутер все сам делает и находит днс и получает айпи. Я просто думаю вот я открыл 53 на свхосте и отключил днс кэш. И это все что надо сделать? свхост то не обрублен если я только порт задам (у меня сторонний фаер и он не различает компонетны свхоста) Тоесть я должен как то выделить паразитный трафик.
 
 
 
Добавлено:
Наверно в случае невстроенного фаера нужно просто глушить все остальные службы в имени исполняемого файла имеют svchost и другого способа нет?

Всего записей: 130 | Зарегистр. 25-02-2012 | Отправлено: 17:10 15-01-2018
Открыть новую тему     Написать ответ в эту тему

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows

Имя:
Пароль:
Сообщение

Для вставки имени, кликните на нем.

Опции сообщенияДобавить свою подпись
Подписаться на получение ответов по e-mail
Добавить тему в личные закладки
Разрешить смайлики?
Запретить коды


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.Board
© Ru.Board 2000-2018

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru