Перейти из форума на сайт.


Система IP-видеонаблюдения "Линия". Скачать бесплатную демо-версию для 16 камер. НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Активные темы » Тонкая настройка брандмауэра Windows

Модерирует : KLASS, IFkO

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45

Открыть новую тему     Написать ответ в эту тему

KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
  • Из описания темы видно, что речь пойдет о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии,
    вся "борьба" с которой сводится к отключению\перенастройке почти всех правил Microsoft.
    Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.
     
  • Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности.
    ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:
       
    Отключаем или удаляем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP)

    Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик)

    Теперь обязательно остановите и отключите службу Dnscache (DNS-клиент), для этого выполните команды от имени администратора:
    net stop Dnscache
    sc config Dnscache start= disabled

    Все, Интернета - нет, как и нет любых других соединений (кроме DHCP), включая телеметрию. Чтобы убедиться в этом используйте Wireshark.
    После такой настройки, обновления автоматически устанавливаться не будут. Для систем ниже Windows 10 сначала обновите систему, а потом настраивайте правила брандмауэра.
    Последующие обновления устанавливайте ручками.
    Актуальный список обновлений для Windows 10 и рекомендации по обновлению Windows 7 SP1
     
  • Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. По другому, будем создавать белый список приложений.
    Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.
     
  • Для того, чтобы быстро разобраться какой программе, что нужно открыть в брандмауэре, можно использовать приложение Process Hacker с надстройками.
    Текущая английская сборка от Victor_VG или локализованная сборка от KLASS для Windows 10 версии не ниже 1607 Build 14393.
    Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" (на Windows 7 не работает, используйте набор NetworkTrafficView_russian) и
    запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим к каким портам,
    удаленным адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения.
     
  • Как добавлять правила в брандмауэр используя командную строку(команда netsh).
     
  • Не лишним будет добавление в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.
     
  • Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)
     
  • Также, для удобства создания правил, есть другой инструмент Windows Firewall Control.
    Это надстройка, которая работает в системном трее на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws,
    без необходимости переходить в определённые окна настроек брандмауэра.
     
  • Включить аудит Платформы фильтрации IP-пакетов
     
  • Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell
     
  • Проверка брандмауэра на наличие уязвимостей
     
  • Смежные темы:
    Настройка персональных файерволов (firewall rules)
    Бесконтрольность Windows 10
    Быстрая настройка Windows
     
  • Шапку и около-темные вопросы обсуждаем здесь

Всего записей: 6434 | Зарегистр. 12-10-2001 | Отправлено: 20:59 05-03-2017 | Исправлено: KLASS, 23:29 13-12-2017
freeman440

Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS
спасибо, но я пока решил отложить это дело

Всего записей: 2042 | Зарегистр. 17-09-2008 | Отправлено: 18:58 06-03-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
freeman440
Думаю вам и эта версия (2.39) не поможет, на 7 есть проблемы с вкладкой Firewall. Щаз до разберемся и сделаю пометку в шапке.

Всего записей: 6434 | Зарегистр. 12-10-2001 | Отправлено: 18:59 06-03-2017 | Исправлено: KLASS, 19:00 06-03-2017
LevT



Gold Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS

Цитата:
Цитата: -Хост-процесс для служб Windows (svchost.exe) - пришлось разрешить любой удаленный адрес и удаленный порт, иначе количество уведомлений сводит с ума   Стало-быть разрешили телеметрию... низя так настраивать, иначе можно было ничего не делать и работать с правилами по умолчанию.    

 
Оказывается, возможно настраивать правила точнее: по конкретный сервисам, содержащимся в svchost.exe

Всего записей: 9866 | Зарегистр. 14-10-2001 | Отправлено: 19:00 06-03-2017
Gosuto



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Так я не пойму, для конкретных программ не будет конкретных правил в шапке? Под more там, или как...

----------
IT Goodies|Ru.Board в Telegram

Всего записей: 4426 | Зарегистр. 09-11-2015 | Отправлено: 19:05 06-03-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
LevT

Цитата:
по конкретный сервисам, содержащимся в svchost.exe

Это ты про PS? Тогда пиши портянку, но скрой ее.
По мне хватает урезать ему по диапазону IP и фсе, сиравно дальше них не вылезет
WildGoblin
Для рекламы хватало и hosts, а сейчас о чем идет речь, т.е. какие людям делать запрещающие правила для Скайпа?
 
Добавлено:
Gosuto
Да еще кроме тебя и  freeman440, который уже отложил настройку, никто ничего не сказал

Всего записей: 6434 | Зарегистр. 12-10-2001 | Отправлено: 19:06 06-03-2017 | Исправлено: KLASS, 19:22 06-03-2017
LevT



Gold Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Gosuto
 
Шапка станет монстрообразной.
Предлагаю публиковать здесь в теме - и давать ссылку на пост в шапке персональной темы программы.
 
Можно придумать стандартное оформление таких ссылок.

Всего записей: 9866 | Зарегистр. 14-10-2001 | Отправлено: 19:08 06-03-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Будет со временем таблица (скрыта под море), надеюсь, где все и укажем.
Народ кто умеет, давно уже все сделал, а кто не умеет, так ему таблица не поможет на данном этапе, сначала народу надо суть уловить, как настраивать грамотно.

Всего записей: 6434 | Зарегистр. 12-10-2001 | Отправлено: 19:09 06-03-2017 | Исправлено: KLASS, 19:11 06-03-2017
Gosuto



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
LevT
отчего ж монстрообразной.. для наиболее распространенных - просто под more давать ссылку на пост в теме, да и все. открыл море, добавил ссылку на пост, вуаля.

----------
IT Goodies|Ru.Board в Telegram

Всего записей: 4426 | Зарегистр. 09-11-2015 | Отправлено: 19:11 06-03-2017
Victor_VG



Tracker Mod
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
freeman440
 
Плагин FirewallMonitor может заработать на восьмёрке, но его последние варианты на семёрке точно не работают ибо M$ об этом давно "позаботилась" тасуя WFP APII так, что при сходных именах функций его реализации для виста, семёрки, восьмёрки и десятки не совместимы между собой. Меняется версия ОС - меняется и реализация WFP API, переделывайте всё заново ©Микрософт. Это явно бардак в мягком королевстве, по крайней мере наши программисты задали коллегам из Микрософт вопрос Зачем? и получили ответ "Ориентируйтесь на новейшие сборки ОС, а работу в предыдущих мы не гарантируем!" - вроде формально-уклончивый, но по смыслу понятно - "У нас каша в голове и мы сами не знаем что через секунду выкатим!".

----------
Жив курилка! (Р. Ролан, "Кола Брюньон")

Всего записей: 19616 | Зарегистр. 31-07-2002 | Отправлено: 19:17 06-03-2017
LevT



Gold Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

А вот предложение по инфраструктуре для самостоятельного создания настроенных сборок
 

Всего записей: 9866 | Зарегистр. 14-10-2001 | Отправлено: 19:30 06-03-2017
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Gosuto

Цитата:
по идее должен стать скайп

по идее все необходимые условия для работы ПО должны быть описаны в техдокументации, иначе можно последовть требованиям их саппорта, которые озвучивают необходимость установки интернет эксплорера и ничего не знают о диапазонах портов для скайпа =)

Всего записей: 1183 | Зарегистр. 03-02-2005 | Отправлено: 10:28 07-03-2017
Gosuto



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002
должны быть.. ага, только не делают. к тому же все помнят про эксперименты с майнерами, в том же utorrent.
хорошо бы, да чет не верится, что к eula будут прилагать список адресов и портов, по которым программа будет шариться. скорее всего, поможет только метод "научного тыка" с wireshark

----------
IT Goodies|Ru.Board в Telegram

Всего записей: 4426 | Зарегистр. 09-11-2015 | Отправлено: 10:37 07-03-2017
LevT



Gold Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Gosuto
 
Теоретически возможно для желаемого состояния написать ресурс  WaitForWireshark и сделать от него зависящим конфиг ресурса "правило фаервола".
 
Таких ресурсов несколько на выбор в репозитории мелкомягкого сообщества: они различаются поддержкой семёрки, которую реализовать сложнее.

Всего записей: 9866 | Зарегистр. 14-10-2001 | Отправлено: 10:51 07-03-2017 | Исправлено: LevT, 11:04 07-03-2017
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
ну по скайпу для начала можно так сделать https://www.wincert.net/forum/index.php?/topic/9813-tweaked-skype-71832111-multilanguage/
хоть чтото, но возможно что и как мёртвому припарка =)

Всего записей: 1183 | Зарегистр. 03-02-2005 | Отправлено: 10:52 07-03-2017
freeman440

Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Victor_VG
Никто под семерку FirewallMonitor пилить не будет и чуда ждать не стоит?




http://forum.ru-board.com/topic.cgi?forum=5&topic=49036&start=100#lt

Всего записей: 2042 | Зарегистр. 17-09-2008 | Отправлено: 11:58 07-03-2017 | Исправлено: KLASS, 12:33 07-03-2017
LevT



Gold Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
freeman440
 
Семёркой занимаются те, кто по какой-то причине заинтересованы в семёрке.  
Там всё сложно, но в принципе тоже возможно.
 
Не знаю что такое FirewallMonitor - но после Install-Module Carbon появляются следующие ресурсы:
 
PS C:\Windows\system32> Get-DscResource -Module carbon | select name
 
Name
----
Carbon_EnvironmentVariable
Carbon_FirewallRule
Carbon_Group
Carbon_IniFile
Carbon_Permission
Carbon_Privilege
Carbon_ScheduledTask
Carbon_Service
 

Всего записей: 9866 | Зарегистр. 14-10-2001 | Отправлено: 12:31 07-03-2017 | Исправлено: LevT, 12:32 07-03-2017
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
LevT
в карбоне вроде как заявлена поддержка 7сп1

Всего записей: 1183 | Зарегистр. 03-02-2005 | Отправлено: 13:40 07-03-2017
LevT



Gold Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Но не следует забывать, что на старые системы сам последний DSC надо ставить.
Либо тянуть с мс офсайта в виде MSKB апдейта WMF (5.1 на сегодня), либо из chocolatey командой choco install -y powershell всегда актуальный
 

Всего записей: 9866 | Зарегистр. 14-10-2001 | Отправлено: 15:19 07-03-2017
Ratiborus



Gold Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
FireWallRulesParser
Вроде работает...

----------
KMS Активаторы
"Если программа работает, значит в ней ничего не нужно менять"©

Всего записей: 8264 | Зарегистр. 18-06-2005 | Отправлено: 16:40 07-03-2017
Gosuto



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
FireWallRulesParser  
Вроде работает...

Ratiborus
йех, superb.
а развитие будет?
хотелки:
1. растягивать окошко
2. возможность выделять и копировать все
3. что-то еще
 
Добавлено:

 
Добавлено:
а, и еще, если можно с CTRL выделять отдельные

----------
IT Goodies|Ru.Board в Telegram

Всего записей: 4426 | Зарегистр. 09-11-2015 | Отправлено: 16:45 07-03-2017
Открыть новую тему     Написать ответ в эту тему

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Активные темы » Тонкая настройка брандмауэра Windows

Имя:
Пароль:
Сообщение

Для вставки имени, кликните на нем.

Опции сообщенияДобавить свою подпись
Подписаться на получение ответов по e-mail
Добавить тему в личные закладки
Разрешить смайлики?
Запретить коды


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.Board
© Ru.Board 2000-2017

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru