Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Активные темы » Тонкая настройка брандмауэра Windows

Модерирует : KLASS, IFkO

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71

Открыть новую тему     Написать ответ в эту тему

KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
  • Из описания темы видно, что речь пойдет о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии,
    вся "борьба" с которой сводится к отключению\перенастройке почти всех правил Microsoft.
    Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.
     
  • Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности.
    ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:
       
    Отключаем или удаляем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP)
    Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик)
    и Основы сетей - DNS (UDP - исходящий трафик), но оставив это правило DNS помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд. Потому для верности, создавайте правила DNS для каждой программы из белого списка (разрешить UDP исходящее соединение, удаленный порт 53), а правило Основы сетей - DNS (UDP - исходящий трафик) предпочтительно тоже отключить. Отключив правило, обязательно отключите службу DNS-клиент
    Все, Интернета - нет, как и нет любых других соединений (кроме DHCP), включая телеметрию. Чтобы убедиться в этом используйте Wireshark.
    После такой настройки, обновления автоматически устанавливаться не будут. Для систем ниже Windows 10 сначала обновите систему, а потом настраивайте правила брандмауэра. Последующие обновления устанавливайте ручками.
    Актуальный список обновлений для Windows 10 и рекомендации по обновлению Windows 7 SP1
    История кумулятивных обновлений для разных версий Windows 10
     
  • Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. По другому, будем создавать белый список приложений.
    Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.
     
  • Для того, чтобы быстро разобраться какой программе, что нужно открыть в брандмауэре, можно использовать приложение Process Hacker с надстройками.
    Сборка Process Hacker x86 x64 от Victor_VG или ее русский вариант от KLASS для Windows 10 версии не ниже 1607 Сборка 14393.
    Сборка Process Hacker x64 от ItsJustMe для Windows 10 версии не ниже 1809 Сборка 17763.107. Вопросы по работе Process Hacker (изучите там шапку).
    Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" (на Windows 7 не работает, используйте набор NetworkTrafficView_russian) и
    запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим к каким портам,
    удаленным адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения.
     
  • Как добавлять или изменять правила используя командную строку (команда netsh).
     
  • Контекстное меню в проводнике для файлов .EXE, при помощи которого можно добавлять правила в брандмауэр (Shift+ПКМ).
     
  • Не лишним будет добавление в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.
     
  • Импортируйте свои правила при каждом входе в систему через Планировщик, т.к. правила от M$ могут быть восстановлены при очередном обновлении
     
  • Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)
     
  • Также, для удобства создания правил, есть другой инструмент Windows Firewall Control.
    Это надстройка, которая работает в системном трее на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws,
    без необходимости переходить в определённые окна настроек брандмауэра.
     
  • Включить аудит Платформы фильтрации IP-пакетов
     
  • Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell
     
  • Проверка брандмауэра на наличие уязвимостей
     
  • Смежные темы:
    Настройка персональных файерволов (firewall rules)
    Бесконтрольность Windows 10
    Быстрая настройка Windows
     
  • Шапку и около-темные вопросы обсуждаем здесь

Всего записей: 7635 | Зарегистр. 12-10-2001 | Отправлено: 20:59 05-03-2017 | Исправлено: KLASS, 08:30 09-01-2019
freeman440

Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS
спасибо, но я пока решил отложить это дело

Всего записей: 2259 | Зарегистр. 17-09-2008 | Отправлено: 18:58 06-03-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
freeman440
Думаю вам и эта версия (2.39) не поможет, на 7 есть проблемы с вкладкой Firewall. Щаз до разберемся и сделаю пометку в шапке.

Всего записей: 7635 | Зарегистр. 12-10-2001 | Отправлено: 18:59 06-03-2017 | Исправлено: KLASS, 19:00 06-03-2017
LevT



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS

Цитата:
Цитата: -Хост-процесс для служб Windows (svchost.exe) - пришлось разрешить любой удаленный адрес и удаленный порт, иначе количество уведомлений сводит с ума   Стало-быть разрешили телеметрию... низя так настраивать, иначе можно было ничего не делать и работать с правилами по умолчанию.    

 
Оказывается, возможно настраивать правила точнее: по конкретный сервисам, содержащимся в svchost.exe

Всего записей: 11221 | Зарегистр. 14-10-2001 | Отправлено: 19:00 06-03-2017
Gosuto



BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Так я не пойму, для конкретных программ не будет конкретных правил в шапке? Под more там, или как...

Всего записей: 5619 | Зарегистр. 09-11-2015 | Отправлено: 19:05 06-03-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
LevT

Цитата:
по конкретный сервисам, содержащимся в svchost.exe

Это ты про PS? Тогда пиши портянку, но скрой ее.
По мне хватает урезать ему по диапазону IP и фсе, сиравно дальше них не вылезет
WildGoblin
Для рекламы хватало и hosts, а сейчас о чем идет речь, т.е. какие людям делать запрещающие правила для Скайпа?
 
Добавлено:
Gosuto
Да еще кроме тебя и  freeman440, который уже отложил настройку, никто ничего не сказал

Всего записей: 7635 | Зарегистр. 12-10-2001 | Отправлено: 19:06 06-03-2017 | Исправлено: KLASS, 19:22 06-03-2017
LevT



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Gosuto
 
Шапка станет монстрообразной.
Предлагаю публиковать здесь в теме - и давать ссылку на пост в шапке персональной темы программы.
 
Можно придумать стандартное оформление таких ссылок.

Всего записей: 11221 | Зарегистр. 14-10-2001 | Отправлено: 19:08 06-03-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Будет со временем таблица (скрыта под море), надеюсь, где все и укажем.
Народ кто умеет, давно уже все сделал, а кто не умеет, так ему таблица не поможет на данном этапе, сначала народу надо суть уловить, как настраивать грамотно.

Всего записей: 7635 | Зарегистр. 12-10-2001 | Отправлено: 19:09 06-03-2017 | Исправлено: KLASS, 19:11 06-03-2017
Gosuto



BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
LevT
отчего ж монстрообразной.. для наиболее распространенных - просто под more давать ссылку на пост в теме, да и все. открыл море, добавил ссылку на пост, вуаля.

Всего записей: 5619 | Зарегистр. 09-11-2015 | Отправлено: 19:11 06-03-2017
Victor_VG



Tracker Mod
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
freeman440
 
Плагин FirewallMonitor может заработать на восьмёрке, но его последние варианты на семёрке точно не работают ибо M$ об этом давно "позаботилась" тасуя WFP APII так, что при сходных именах функций его реализации для виста, семёрки, восьмёрки и десятки не совместимы между собой. Меняется версия ОС - меняется и реализация WFP API, переделывайте всё заново ©Микрософт. Это явно бардак в мягком королевстве, по крайней мере наши программисты задали коллегам из Микрософт вопрос Зачем? и получили ответ "Ориентируйтесь на новейшие сборки ОС, а работу в предыдущих мы не гарантируем!" - вроде формально-уклончивый, но по смыслу понятно - "У нас каша в голове и мы сами не знаем что через секунду выкатим!".

----------
Жив курилка! (Р. Ролан, "Кола Брюньон")

Всего записей: 22843 | Зарегистр. 31-07-2002 | Отправлено: 19:17 06-03-2017
LevT



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

А вот предложение по инфраструктуре для самостоятельного создания настроенных сборок
 

Всего записей: 11221 | Зарегистр. 14-10-2001 | Отправлено: 19:30 06-03-2017
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Gosuto

Цитата:
по идее должен стать скайп

по идее все необходимые условия для работы ПО должны быть описаны в техдокументации, иначе можно последовть требованиям их саппорта, которые озвучивают необходимость установки интернет эксплорера и ничего не знают о диапазонах портов для скайпа =)

Всего записей: 1658 | Зарегистр. 03-02-2005 | Отправлено: 10:28 07-03-2017
Gosuto



BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002
должны быть.. ага, только не делают. к тому же все помнят про эксперименты с майнерами, в том же utorrent.
хорошо бы, да чет не верится, что к eula будут прилагать список адресов и портов, по которым программа будет шариться. скорее всего, поможет только метод "научного тыка" с wireshark

Всего записей: 5619 | Зарегистр. 09-11-2015 | Отправлено: 10:37 07-03-2017
LevT



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Gosuto
 
Теоретически возможно для желаемого состояния написать ресурс  WaitForWireshark и сделать от него зависящим конфиг ресурса "правило фаервола".
 
Таких ресурсов несколько на выбор в репозитории мелкомягкого сообщества: они различаются поддержкой семёрки, которую реализовать сложнее.

Всего записей: 11221 | Зарегистр. 14-10-2001 | Отправлено: 10:51 07-03-2017 | Исправлено: LevT, 11:04 07-03-2017
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
ну по скайпу для начала можно так сделать https://www.wincert.net/forum/index.php?/topic/9813-tweaked-skype-71832111-multilanguage/
хоть чтото, но возможно что и как мёртвому припарка =)

Всего записей: 1658 | Зарегистр. 03-02-2005 | Отправлено: 10:52 07-03-2017
freeman440

Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Victor_VG
Никто под семерку FirewallMonitor пилить не будет и чуда ждать не стоит?




http://forum.ru-board.com/topic.cgi?forum=5&topic=49036&start=100#lt

Всего записей: 2259 | Зарегистр. 17-09-2008 | Отправлено: 11:58 07-03-2017 | Исправлено: KLASS, 12:33 07-03-2017
LevT



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
freeman440
 
Семёркой занимаются те, кто по какой-то причине заинтересованы в семёрке.  
Там всё сложно, но в принципе тоже возможно.
 
Не знаю что такое FirewallMonitor - но после Install-Module Carbon появляются следующие ресурсы:
 
PS C:\Windows\system32> Get-DscResource -Module carbon | select name
 
Name
----
Carbon_EnvironmentVariable
Carbon_FirewallRule
Carbon_Group
Carbon_IniFile
Carbon_Permission
Carbon_Privilege
Carbon_ScheduledTask
Carbon_Service
 

Всего записей: 11221 | Зарегистр. 14-10-2001 | Отправлено: 12:31 07-03-2017 | Исправлено: LevT, 12:32 07-03-2017
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
LevT
в карбоне вроде как заявлена поддержка 7сп1

Всего записей: 1658 | Зарегистр. 03-02-2005 | Отправлено: 13:40 07-03-2017
LevT



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Но не следует забывать, что на старые системы сам последний DSC надо ставить.
Либо тянуть с мс офсайта в виде MSKB апдейта WMF (5.1 на сегодня), либо из chocolatey командой choco install -y powershell всегда актуальный
 

Всего записей: 11221 | Зарегистр. 14-10-2001 | Отправлено: 15:19 07-03-2017
Ratiborus



Gold Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
FireWallRulesParser
Вроде работает...

----------
KMS Активаторы
"Если программа работает, значит в ней ничего не нужно менять"©

Всего записей: 8860 | Зарегистр. 18-06-2005 | Отправлено: 16:40 07-03-2017
Gosuto



BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
FireWallRulesParser  
Вроде работает...

Ratiborus
йех, superb.
а развитие будет?
хотелки:
1. растягивать окошко
2. возможность выделять и копировать все
3. что-то еще
 
Добавлено:

 
Добавлено:
а, и еще, если можно с CTRL выделять отдельные

Всего записей: 5619 | Зарегистр. 09-11-2015 | Отправлено: 16:45 07-03-2017
Открыть новую тему     Написать ответ в эту тему

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Активные темы » Тонкая настройка брандмауэра Windows

Имя:
Пароль:
Сообщение

Для вставки имени, кликните на нем.

Опции сообщенияДобавить свою подпись
Подписаться на получение ответов по e-mail
Добавить тему в личные закладки
Разрешить смайлики?
Запретить коды


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.Board
© Ru.Board 2000-2018

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru

Рейтинг.ru