KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Как видно из описания темы, речь пойдёт о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии, вся "борьба" с которой сводится к отключению/перенастройке почти всех правил Microsoft. Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.   Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности. ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:     Отключаем или удаляем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP) Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик) и Основы сетей - DNS (UDP - исходящий трафик). НЕ ОБЯЗАТЕЛЬНО (на слив телеметрии не влияет, сначала осознайте, для чего вам это нужно): Оставив правило DNS, помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд. Если таки решили это правило отключить и осознали, зачем вам это надо, обязательно отключите службу DNS-клиент. Всё, Интернета нет, как и нет любых других соединений (кроме DHCP и DNS), включая телеметрию. Чтобы убедиться в этом, используйте Wireshark. После такой настройки обновления автоматически устанавливаться не будут. Для систем ниже Windows 10 сначала обновите систему, а потом настраивайте правила брандмауэра. Последующие обновления устанавливайте ручками. Актуальный список обновлений для Windows 10 см. здесь, рекомендации по обновлению Windows 7 SP1 см. здесь. История кумулятивных обновлений для разных версий Windows 10 доступна здесь.   Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. Иначе говоря, будем создавать "белый" список приложений. Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.   Для того чтобы быстро разобраться, какой программе что нужно открыть в брандмауэре, можно использовать приложение Process Hacker. Сборка Process Hacker x86 x64 от Victor_VG или ее русский вариант от KLASS для Windows 10. Вопросы по работе Process Hacker (изучите там шапку). Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" и запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим, к каким портам, удалённым адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения. Для Windows 7 можно воспользоваться набором NetworkTrafficView_russian. Также, в любой системе, для отслеживания можно использовать Process Monitor от Марка Руссиновича (в той же теме все вопросы по настройке программы).   Как добавлять или изменять правила, используя командную строку (команда netsh).   Контекстное меню в проводнике для файлов .EXE, с помощью которого можно добавлять правила в брандмауэр (Shift+ПКМ).   Не лишним будет добавить в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.   Импортируйте свои правила при каждом входе в систему через Планировщик, так как правила от M$ могут быть восстановлены при очередном обновлении.   Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)   Также, для удобства создания правил, есть другой инструмент Windows Firewall Control. Это надстройка, которая работает в области уведомлений на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws, без необходимости переходить в определённые окна настроек брандмауэра.   Включить аудит Платформы фильтрации IP-пакетов   Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell или Netsh   Проверка брандмауэра на наличие уязвимостей   Как запретить или разрешить изменять правила брандмауэра. Утилита SubInACL от Microsoft. Нюансы: 1, 2. На сегодня утилита не поддерживается и была убрана с сайта разработчика. Ищите в других местах: subinacl.exe Size: 290 304 Bytes CRC32: 90B58A75 MD5: 53cdbb093b0aee9fd6cf1cbd25a95077 SHA1: 3b90ecc7b40c9c74fd645e9e24ab1d6d8aee6c2d SHA256: 01a2e49f9eed2367545966a0dc0f1d466ff32bd0f2844864ce356b518c49085c SHA512: 7335474d6a4b131576f62726c14148acf666e9a2ce54128b23fe04e78d366aa5bdf428fe68f28a42c2b08598d46cada447a4e67d530529b3e10f4282513a425f   Ещё раз про "секретные, неотключаемые разрешающие правила" RestrictedServices   Смежные темы: Настройка персональных файерволов (firewall rules) Бесконтрольность Windows 10 Быстрая настройка Windows   Шапку и около-темные вопросы обсуждаем здесь Всего записей: 11112 | Зарегистр. 12-10-2001 | Отправлено: 20:59 05-03-2017 | Исправлено: WildGoblin, 13:05 15-06-2022

shadow_member Platinum Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору http://www.manhunter.ru/software/488_blokirovka_otdelnih_ip_c_pomoschyu_politiki_bezopasnosti.html Всего записей: 22354 | Зарегистр. 18-07-2006 | Отправлено: 19:25 05-04-2017

LevT Platinum Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору KLASS Цитата: Кстати, LevT, что по поводу создания правил для брандмауэра через политику, скажет уважаемый пошик     DSC и GP уживаются друг с другом как два енота в одной банке - это слова Сновера, цитируемые Don Jones То есть лучше не наживать себе геморроя и пользоваться чем-то одним. Через DSC можно централизованно управлять недоменными компами   А сам по себе пошик может вот что делать с GP:   Код:   Alias           Set-GPPermissions                                  1.0.0.0    GroupPolicy Function        Open-NetGPO                                        2.0.0.0    NetSecurity Function        Save-NetGPO                                        2.0.0.0    NetSecurity Cmdlet          Backup-GPO                                         1.0.0.0    GroupPolicy Cmdlet          Block-GPInheritance                                1.0.0.0    GroupPolicy Cmdlet          Copy-GPO                                           1.0.0.0    GroupPolicy Cmdlet          Get-GPInheritance                                  1.0.0.0    GroupPolicy Cmdlet          Get-GPO                                            1.0.0.0    GroupPolicy Cmdlet          Get-GPOReport                                      1.0.0.0    GroupPolicy Cmdlet          Get-GPPermission                                   1.0.0.0    GroupPolicy Cmdlet          Get-GPPrefRegistryValue                            1.0.0.0    GroupPolicy Cmdlet          Get-GPRegistryValue                                1.0.0.0    GroupPolicy Cmdlet          Get-GPResultantSetOfPolicy                         1.0.0.0    GroupPolicy Cmdlet          Get-GPStarterGPO                                   1.0.0.0    GroupPolicy Cmdlet          Import-GPO                                         1.0.0.0    GroupPolicy Cmdlet          Invoke-GPUpdate                                    1.0.0.0    GroupPolicy Cmdlet          New-GPLink                                         1.0.0.0    GroupPolicy Cmdlet          New-GPO                                            1.0.0.0    GroupPolicy Cmdlet          New-GPStarterGPO                                   1.0.0.0    GroupPolicy Cmdlet          Remove-GPLink                                      1.0.0.0    GroupPolicy Cmdlet          Remove-GPO                                         1.0.0.0    GroupPolicy Cmdlet          Remove-GPPrefRegistryValue                         1.0.0.0    GroupPolicy Cmdlet          Remove-GPRegistryValue                             1.0.0.0    GroupPolicy Cmdlet          Rename-GPO                                         1.0.0.0    GroupPolicy Cmdlet          Restore-GPO                                        1.0.0.0    GroupPolicy Cmdlet          Set-GPInheritance                                  1.0.0.0    GroupPolicy Cmdlet          Set-GPLink                                         1.0.0.0    GroupPolicy Cmdlet          Set-GPPermission                                   1.0.0.0    GroupPolicy Cmdlet          Set-GPPrefRegistryValue                            1.0.0.0    GroupPolicy Cmdlet          Set-GPRegistryValue                                1.0.0.0    GroupPolicy     модуль NetSecurity (именно им рулятся правила фаера) идёт сразу в любой винде, GroupPoliсy - ставится вместе с RSAT.   Например, редактировать объекты политики кажется всё-таки нельзя Прямо в галерее Find-Module *policy* отыскивает ещё несколько модулей по теме.   На гитхаб и дальше я не полез искать.   Где-то когда-то мне попадались упоминания о конвертере .pol файлов     Добавлено:   А безотносительно к пошику, я встречал упоминания о некоем "GPO Pack" который можно применить к винде при её развёртывании а может и потом (также, как вроде бы можно dism /Online /Apply-Unattend:C:\unattend.xml) Всего записей: 17149 | Зарегистр. 14-10-2001 | Отправлено: 19:32 05-04-2017 | Исправлено: LevT, 19:40 05-04-2017

WildGoblin Ru-Board Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору KLASS Цитата: Сделал все телодвижения Это бесполезные телодвижения т.к. все эти правила локальные и проги их могут поменять. Цитата: Ура! Используя системные средства, отыскалась возможность прогам (и самой выни, по-видимому), при создании левых правил без оповещения пользователя, таки запретить юзать эти правила, даже, если они включены Поздравляю - вы изобрели ханаанский бальзам 2.0!   shadow_member Цитата: После выполнения всех манипуляций в Локальной политике безопасности ни FireWallRulesParser, ни WFC не видели ни одного правила! Это потому что они правила в другой ветке реестра ищут. Цитата: Согласен, теперь бы найти дружелюбный способ создания правил. В чём проблема - делай с ними что хочешь в Локальной политике безопасности.   Добавлено: shadow_member Цитата: http://www.manhunter.ru/software/488_blokirovka_otdelnih_ip_c_pomoschyu_politiki_bezopasnosti.html Писали ведь уже про это в "Бесконтрольность Windows 10"! Данный способ хорош тем что там можно помимо айпи прописывать ещё и домены!   Добавлено: LevT Цитата: Где-то когда-то мне попадались упоминания о конвертере .pol файлов http://blogs.technet.com/b/secguide/archive/2016/01/21/lgpo-exe-local-group-policy-object-utility-v1-0.aspx Про это разговор? Всего записей: 29341 | Зарегистр. 15-09-2001 | Отправлено: 20:14 05-04-2017

KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору WildGoblin Цитата: Это бесполезные телодвижения т.к. все эти правила локальные и проги их могут поменять. Тогда вопрос, как изменить правила брандмауэра чрез политику не используя Гуй? Всего записей: 11112 | Зарегистр. 12-10-2001 | Отправлено: 20:30 05-04-2017

LevT Platinum Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору вот описание события https://technet.microsoft.com/en-us/itpro/windows/keep-secure/event-4947   на события можно вешать обработчики (в частности, пошиком) Обработчики могут быть в частности пошиковскими скриптами     WildGoblin спасибо за раньше не встречавшуюся мне ссылку )   Всего записей: 17149 | Зарегистр. 14-10-2001 | Отправлено: 20:58 05-04-2017

WildGoblin Ru-Board Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору KLASS Цитата: Тогда вопрос, как изменить правила брандмауэра чрез политику не используя Гуй? Батником можно поковырять в ветке политик HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\WindowsFirewall\FirewallRules   LevT Цитата: спасибо за раньше не встречавшуюся мне ссылку ) И вам спасибо - топик таки приносит пользу! Всего записей: 29341 | Зарегистр. 15-09-2001 | Отправлено: 21:04 05-04-2017

LevT Platinum Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору лучше вот https://technet.microsoft.com/en-us/itpro/windows/keep-secure/audit-mpssvc-rule-level-policy-change   Добавлено: бинисофт походу через это и работает Всего записей: 17149 | Зарегистр. 14-10-2001 | Отправлено: 21:11 05-04-2017

KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору WildGoblin Поковырял, работает после добавления правила батником и gpupdate.exe /force При этом в Политика\Брандмауэр правила нет, коль тока в реестре, но не в .pol, а в Администрировании\Брандмауэр правило есть и его низя править\удалять. Дыра Дальше больше, если теперь очистить политику\брандмауэр стандартно (указанный раздел удалялся), то раздел из реестра уже не удаляется и то правило, что добавили батником остается... Оно конечно юзать можно политику\брандмауэр, но гарантии, что обновляемая прога не проверяет такой подход юзера - нет и маломальский программер может сунуть добавление правила через реестр. При этом лупатый, который не ведает про политику и реестр, будет хлопать шарами и недоумевать, почему правила низя удалить из администрирование\брандмауэр... я же Одмин Всего записей: 11112 | Зарегистр. 12-10-2001 | Отправлено: 00:31 06-04-2017

KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Us2002 Настройки разрешений в реестре я, разумеется, не трогал, лишь говорю, что при очистке (не удалении раздела из реестра через редактор) политики по ПКМ, тот раздел уже не удаляется, если мы сунули свое правило батником, а должен удаляться и удаляется, когда правила в раздел батником не добавлялись. Всего записей: 11112 | Зарегистр. 12-10-2001 | Отправлено: 08:12 06-04-2017

KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Us2002 Я правило добавил через батник в реестр, т.е. минуя оснастку политика\брандмауэр. В оснастке политика\брандмауэр того правила нет после того, как я добавил правило в реестр батником, а в администрирование\брандмауэр правило есть и удалить его низя. Всего записей: 11112 | Зарегистр. 12-10-2001 | Отправлено: 09:48 06-04-2017

Leljka Junior Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Помню-помню(( Было дело. Только в этой теме или нет спрашивала, уже не помню. Давненько. Тогда настраивала групповую политику по белому списку (пропускать только разрешенное, запрещать, чего нет в списке). И вот все бы хорошо, не получалось у меня разрешить обновляться джаве. Отключаешь и в ручную обновляешь спокойно, а с включенным брандмауэром вин не хочет((   Вроде добавлены были все элементы, все зашибись! Неа.. никак. В конце-концов поставила Касперыча с его файрволлом. А было, что мышь не проскочит! Причем, любой антивирь без сетевого экрана бесплатен. Не нужно заморачиваться с ключами, сбросами триала, журналами и прочим. Всего записей: 98 | Зарегистр. 23-03-2017 | Отправлено: 12:08 11-04-2017 | Исправлено: Leljka, 12:12 11-04-2017

DimonKP Junior Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Специфика добавления правил в брандмауэр (Vista и выше) сторонним софтом: тут. И закрытие этой дырищи тут. P.S.: можно всё запилить в батник, только нужны правки под "язык системы" (с которого устанавливалась). P.P.S.: в идеале вместо local лучше domain использовать (в Group Policy), но - каждый под себя настроит.   Замена process hacker средствами системы: 2-й пост.   Готовая, развивающаяся opensource софтина под наши нужды: тут. Можно попросить добавить фичи, сделать форк под себя и закомитить в оригинал, попросить наших форумчан допилить нужное (экспорт\импорт тулза Ratiborus`a - дать сырцы и функционал впилят). По факту - сильно упростит жизнь обычным пользователям и опытным, чтобы не заниматься рутиной в "консоле" (наши батники). p.s.: локализация будет в след. версиях, можно помочь сейчас. p.p.s.: даже если не знаете как кодить прогу, но разбираетесь в конфигурации firewall по взрослому - можно просто присылать команды. Там их уже забиндят на "кнопки". Всего записей: 107 | Зарегистр. 12-11-2009 | Отправлено: 22:52 12-04-2017

WildGoblin Ru-Board Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору DimonKP Цитата: Специфика добавления правил в брандмауэр (Vista и выше) сторонним софтом: тут. 0 инфы по заявленной теме. Цитата: И закрытие этой дырищи тут. Это не дыра ибо добавлять правила могут только программы с административными привилегиями и если вы даёте программе такие привилегии, то значит считаете, что она всё делает правильно.   И да - ты сам-то хоть почитал про что там написано? Где там про "закрытие дырищи"? Цитата: 2-й пост.   Полезная штука - WFC собственно так и мониторит соединения. Цитата: Готовая, развивающаяся opensource софтина под наши нужды: тут. Не работающая поделка. Всего записей: 29341 | Зарегистр. 15-09-2001 | Отправлено: 15:35 13-04-2017

LevT Platinum Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору WildGoblin Цитата: Не работающая поделка.   Что тебя в ней не устраивает? Не будь тупым потребителем, сообщи о баге! Это ведь именно то, что вы хотели, как мне кажется. Всего записей: 17149 | Зарегистр. 14-10-2001 | Отправлено: 17:28 13-04-2017

Leljka Junior Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Цитата: Замена process hacker средствами системы:   а по-русски есть?))) А-ля "Когда латынь знаешь лучше, чем инглиш" Сторонний софт не все признают. Как, все таки, заставить джаву обновляться? При добавленных всех ее компонентах - не хочет (в белых списках). Иной раз в сетевых нужн (те же приложения ВК). И не хочет, если версия не актуальна. Можно и ручками, отключая. Но как-то же быть должно! Не может быть такого, что эта возможность была не реализована! Всего записей: 98 | Зарегистр. 23-03-2017 | Отправлено: 21:24 13-04-2017 | Исправлено: Leljka, 21:24 13-04-2017

DimonKP Junior Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору WildGoblin 1) это 0 инфы? Цитата: You cannot prevent a program from using the Windows Firewall API to add a port to the exceptions list. If you need to prevent this, contact the program vendor or read the program documentation to see if there is a way to disable the feature that listens for incoming traffic. This might prevent the program from using the Windows Firewall APIs. 2) Цитата: Это не дыра ибо добавлять правила могут только программы с административными привилегиями и если вы даёте программе такие привилегии, то значит считаете, что она всё делает правильно.   Невозможность их инспекции до применения делает свое дело, особенно при обновлении. 3) Закрытие дырищи - отключение windows firewall api, через которое и добавляются правила. Соответственно переход на использование групповой политики для добавления вручную. 4) собственно что именно не работает? "поделку" давал для разбора. база есть, фичи можно как реквестить, так и присылать.   LevT Верно. В дополнение: использование программы (этой оболочки) для добавления своих фич. Импорт\экспорт выбранного, блокировка windows firewall api, добавление правил через групповую политику... P.S.: автор немного допилит её и можно приступать. Русский точно можно добавить, пока как отдельную версию. После следующего beta релиза постараюсь сделать.   Leljka 1) Мультиязычность планируется в будущем. 2) Это скорее оболочка для "своих команд" (для батников). Можно посмотреть код, выкинуть лишнее, вставить нужное, при этом не изобретая велосипед. В "консоле" не всегда это удобно.   по java: 1) исходящие и входящие разрешены? 2) все необходимые "файлы" разрешены (javacpl.exe, например)? Для этого найдите абзац в шапке, который начинается с: Цитата: Для того, чтобы быстро разобраться какой программе, что нужно открыть в брандмауэре, можно использовать приложение Process Hacker с надстройками Всего записей: 107 | Зарегистр. 12-11-2009 | Отправлено: 19:34 14-04-2017

Leljka Junior Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Цитата: 1) исходящие и входящие разрешены?   Исходящие и входящие по белому списку. Приложение попробую.     Добавлено: Ну заманчиво. Можно попробовать. Всего записей: 98 | Зарегистр. 23-03-2017 | Отправлено: 16:58 15-04-2017

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Активные темы » Тонкая настройка брандмауэра Windows

Переход по форумам  Закладки   » Компьютеры Цифровое изображение Программы Microsoft Windows UNIX Другие OS Hardware В помощь сисадмину Прикладное программирование Игры Форумные игры   » Интернет Web-программирование В помощь вебмастеру Графика Хостинг Зацените-ка!   » Тематические Ikonboard v.2 Ikonboard v.3 Invision Board Другие форумы PHP-Nuke и другие порталы Мобила   » Общие Спорт Флейм Темы по региональным встречам Музыка и Кино Юмор Литература и Живопись   » Ru.Board Новости Помощь по форуму   » Андеграунд eBookz Варезник Раздачи и акции Мобильный варезник Андеграунд Игры и фильмы   » Специальные Тестирование