KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Как видно из описания темы, речь пойдёт о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии, вся "борьба" с которой сводится к отключению/перенастройке почти всех правил Microsoft. Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.   Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности. ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:     Отключаем или удаляем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP) Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик) и Основы сетей - DNS (UDP - исходящий трафик). НЕ ОБЯЗАТЕЛЬНО (на слив телеметрии не влияет, сначала осознайте, для чего вам это нужно): Оставив правило DNS, помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд. Если таки решили это правило отключить и осознали, зачем вам это надо, обязательно отключите службу DNS-клиент. Всё, Интернета нет, как и нет любых других соединений (кроме DHCP и DNS), включая телеметрию. Чтобы убедиться в этом, используйте Wireshark. После такой настройки обновления автоматически устанавливаться не будут. Для систем ниже Windows 10 сначала обновите систему, а потом настраивайте правила брандмауэра. Последующие обновления устанавливайте ручками. Актуальный список обновлений для Windows 10 см. здесь, рекомендации по обновлению Windows 7 SP1 см. здесь. История кумулятивных обновлений для разных версий Windows 10 доступна здесь.   Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. Иначе говоря, будем создавать "белый" список приложений. Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.   Для того чтобы быстро разобраться, какой программе что нужно открыть в брандмауэре, можно использовать приложение Process Hacker. Сборка Process Hacker x86 x64 от Victor_VG или ее русский вариант от KLASS для Windows 10. Вопросы по работе Process Hacker (изучите там шапку). Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" и запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим, к каким портам, удалённым адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения. Для Windows 7 можно воспользоваться набором NetworkTrafficView_russian. Также, в любой системе, для отслеживания можно использовать Process Monitor от Марка Руссиновича (в той же теме все вопросы по настройке программы).   Как добавлять или изменять правила, используя командную строку (команда netsh).   Контекстное меню в проводнике для файлов .EXE, с помощью которого можно добавлять правила в брандмауэр (Shift+ПКМ).   Не лишним будет добавить в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.   Импортируйте свои правила при каждом входе в систему через Планировщик, так как правила от M$ могут быть восстановлены при очередном обновлении.   Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)   Также, для удобства создания правил, есть другой инструмент Windows Firewall Control. Это надстройка, которая работает в области уведомлений на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws, без необходимости переходить в определённые окна настроек брандмауэра.   Включить аудит Платформы фильтрации IP-пакетов   Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell или Netsh   Проверка брандмауэра на наличие уязвимостей   Как запретить или разрешить изменять правила брандмауэра. Утилита SubInACL от Microsoft. Нюансы: 1, 2. На сегодня утилита не поддерживается и была убрана с сайта разработчика. Ищите в других местах: subinacl.exe Size: 290 304 Bytes CRC32: 90B58A75 MD5: 53cdbb093b0aee9fd6cf1cbd25a95077 SHA1: 3b90ecc7b40c9c74fd645e9e24ab1d6d8aee6c2d SHA256: 01a2e49f9eed2367545966a0dc0f1d466ff32bd0f2844864ce356b518c49085c SHA512: 7335474d6a4b131576f62726c14148acf666e9a2ce54128b23fe04e78d366aa5bdf428fe68f28a42c2b08598d46cada447a4e67d530529b3e10f4282513a425f   Ещё раз про "секретные, неотключаемые разрешающие правила" RestrictedServices   Смежные темы: Настройка персональных файерволов (firewall rules) Бесконтрольность Windows 10 Быстрая настройка Windows   Шапку и около-темные вопросы обсуждаем здесь Всего записей: 11113 | Зарегистр. 12-10-2001 | Отправлено: 20:59 05-03-2017 | Исправлено: WildGoblin, 13:05 15-06-2022

shadow_member Platinum Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору sunny1983 Не знаю, устроит ли это, а другое вряд ли найдёшь. Узнать, какое правило заблокировало соединение (по материалам зарубежной печати) Цитата: If you have allowed a specific service name for a svchost.exe rule and that service is still blocked, you can somehow verify the rule that blocked the connection. • Reproduce the issue • Run command in a CMD window with administrative privileges: netsh wfp show state (this will create a XML file in the current folder) • Open the event viewer: Run (Windows+R) > eventvwr.msc       ° go to "Windows logs" > "Security"       ° in the list, identify the dropping packet log (hint: use the Search feature on the right menu, searching for items (source IP, destination port, etc.) specific to your issue)       ° in the log details, scroll down and note the Filter Run-Time ID used to block the packet     Цитата: • Open the generated wfpstate.xml file:       ° search for the noted filter ID, and check out the rule name (element "displayData > name" on the corresponding XML node)     Цитата: If the name is Default Outbound then it may be a bug in Windows Firewall. This means the allow rule targeted to that specific service name was ignored. Why was ignored, I have no clue, the code is in Microsoft assemblies and I do not have access there. In Windows 10, Windows Update uses more services for updating purposes, so to use Windows Update, you mostly need to allow svchost.exe on remote ports 80,443 with no service name set. If you consider that such a rule is very wide, then disable it and manually enable it once a week when you manually check for updates. Всего записей: 22354 | Зарегистр. 18-07-2006 | Отправлено: 20:20 20-09-2020 | Исправлено: shadow_member, 20:26 20-09-2020

shadow_member Platinum Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору contrafack По логам в журнале определить, какому процессу при пинге блокируется выход в сеть. Или по картинкам выше попробовать вычислить, какое правило блокирует доступ.   Скорее всего, при выключенном брандмауэре разрешение имён происходит через какой-то сторонний DNS-сервер. Всего записей: 22354 | Зарегистр. 18-07-2006 | Отправлено: 13:46 21-09-2020

contrafack Silver Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Цитата: По логам в журнале определить, какому процессу при пинге блокируется выход в сеть.     Я включил логирование, но в логах нет ничего про блокировки.   также в мануалах пишется, что можно смотреть в файле %systemroot%\system32\LogFiles\Firewall\pfirewall.log Но этот файл пуст.     Логгирование включено на блокировку:         Всего записей: 3336 | Зарегистр. 21-04-2008 | Отправлено: 14:26 21-09-2020

shadow_member Platinum Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору А если тут: Просмотр событий -> Журналы Windows -> Безопасность  (C:\%systemroot%\System32\winevt\Logs\Security.evtx) Если блокировка есть, а журнал пустой, то нужно включить аудит командой от админа. Синтаксис разный для рус. оси и анг. В теме выкладывал. В журнале д.б. записи типа этих Всего записей: 22354 | Зарегистр. 18-07-2006 | Отправлено: 15:39 21-09-2020 | Исправлено: shadow_member, 18:39 21-09-2020

WildGoblin Ru-Board Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Caravelli Цитата: Служба DNS-клиента отключена? Заблокирована. ---------- Capitalism is the Virus Бога нет, царя не надо, Губернатора убьём, Платить подати не будем, Во солдаты не пойдём. Всего записей: 29383 | Зарегистр. 15-09-2001 | Отправлено: 15:44 21-09-2020

Caravelli Silver Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору WildGoblin Dnscache, тип запуска "отключена" или "автоматически". Что такое "заблокирована"? Всего записей: 2154 | Зарегистр. 01-12-2009 | Отправлено: 16:10 21-09-2020

WildGoblin Ru-Board Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Caravelli Цитата: Что такое "заблокирована"? Файерволом же - "Тонкая настройка брандмауэра Windows" ---------- Capitalism is the Virus Бога нет, царя не надо, Губернатора убьём, Платить подати не будем, Во солдаты не пойдём. Всего записей: 29383 | Зарегистр. 15-09-2001 | Отправлено: 16:21 21-09-2020

shadow_member Platinum Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору contrafack Ещё вариант. Временно установить Windows Firewall Control, отказавшись от установки рекомендованных правил WFC, т.е. будут работать только те правила, которые есть в системе сейчас. WFC при старте переводит аудит в нужное положение (включает), и смотреть заблокированные в его человеческих логах. Добавлено: И ещё. Создать временное правило для svchost "разрешить всё", аналогично для ping.exe, по результатам делать вывод, ужесточать правила и т.д. P.S. Этот пост исправил. Всего записей: 22354 | Зарегистр. 18-07-2006 | Отправлено: 17:30 21-09-2020 | Исправлено: shadow_member, 18:40 21-09-2020

I95 Advanced Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору WildGoblin post Цитата: Файерволом же - "Тонкая настройка брандмауэра Windows" А здесь у вас что?       Всего записей: 1063 | Зарегистр. 20-03-2009 | Отправлено: 19:05 21-09-2020 | Исправлено: I95, 19:10 21-09-2020

Caravelli Silver Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору WildGoblin Цитата: Файерволом же Так, у каждого будет работать синхронизация времени.   Добавлено: I95 Понятно же, что в его системе - "выполняется" Всего записей: 2154 | Зарегистр. 01-12-2009 | Отправлено: 19:08 21-09-2020

Caravelli Silver Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору I95 За 7-ку ничего не скажу. С 10-кой тоже не было проблем. А вот когда возникла маленькая неприятность, не понятно. Кроме синхронизации времени всё остальное работает нормально. Про WU говорить не будем, там и так всё понятно.   Добавлено: svchost out, UDP, 53, DNS(или IP) без этого правила ни в какую Всего записей: 2154 | Зарегистр. 01-12-2009 | Отправлено: 20:20 21-09-2020

WildGoblin Ru-Board Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору I95 Цитата: А здесь у вас что? Включено, но инет для службы заблокирован (на время тестирования). Да и какая разница если за синхронизацию отвечает служба W32Time, а у вас прописан IP.   Caravelli Цитата: Так, у каждого будет работать синхронизация времени. Ну дык - что и требовалось доказать. Цитата: Понятно же, что в его системе - "выполняется" Можно выключить но какой смысл если инет для неё и так заблокирован, а за синхронизацию отвечает W32Time (которая не зависит от Dnscache)? Цитата: С 10-кой тоже не было проблем. А вот когда возникла маленькая неприятность, не понятно. Я не настаиваю на своей правоте - протестирую завтра, на предмет - зависимости от Dnscache, более полно на чистой виртуалке (у вас какая версия Win10?).   P.S. Кстати последние винды, при разрешении доменных имён, теперь хотят не только "svchost out, UDP, 53, DNS", но и "svchost out, TCP, 53, DNS"! ---------- Capitalism is the Virus Бога нет, царя не надо, Губернатора убьём, Платить подати не будем, Во солдаты не пойдём. Всего записей: 29383 | Зарегистр. 15-09-2001 | Отправлено: 20:40 21-09-2020

Caravelli Silver Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору WildGoblin Цитата: у вас какая версия Win10? Цитата: Windows 10 x64(2004) Всего записей: 2154 | Зарегистр. 01-12-2009 | Отправлено: 21:08 21-09-2020

Caravelli Silver Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору sunny1983 Цитата: А если установить Comodo Firewall, то настройки не блокируются Т.е. если через панель Настройки заходишь на  вкладку Брандмауэр и безопасность сети, смотришь, например, на параметры Общедоступная сеть и видишь, что Брандмауэр Microsoft Defender активен? Всего записей: 2154 | Зарегистр. 01-12-2009 | Отправлено: 07:17 22-09-2020

shadow_member Platinum Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору sunny1983 Это не встроенный брандмауэр ведёт себя по-разному, а Norton и COMODO ведут себя по-разному, у Norton хватает силёнок отключить встроенный, а у COMODO нет, хотя раньше, например, на Win10 v1709, тоже хватало. Но это неважно, если он не отключил, то нужно отключить самому. Всего записей: 22354 | Зарегистр. 18-07-2006 | Отправлено: 08:15 22-09-2020

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Активные темы » Тонкая настройка брандмауэра Windows

Переход по форумам  Закладки   » Компьютеры Цифровое изображение Программы Microsoft Windows UNIX Другие OS Hardware В помощь сисадмину Прикладное программирование Игры Форумные игры   » Интернет Web-программирование В помощь вебмастеру Графика Хостинг Зацените-ка!   » Тематические Ikonboard v.2 Ikonboard v.3 Invision Board Другие форумы PHP-Nuke и другие порталы Мобила   » Общие Спорт Флейм Темы по региональным встречам Музыка и Кино Юмор Литература и Живопись   » Ru.Board Новости Помощь по форуму   » Андеграунд eBookz Варезник Раздачи и акции Мобильный варезник Андеграунд Игры и фильмы   » Специальные Тестирование