Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Активные темы » Тонкая настройка брандмауэра Windows

Модерирует : KLASS, IFkO

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117

Открыть новую тему     Написать ответ в эту тему

KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
  • Как видно из описания темы, речь пойдёт о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии, вся "борьба" с которой сводится к отключению/перенастройке почти всех правил Microsoft.
    Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.
     
  • Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности.
    ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:
       
    Отключаем или удаляем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP)
    Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик)
    и Основы сетей - DNS (UDP - исходящий трафик).


    НЕ ОБЯЗАТЕЛЬНО (на слив телеметрии не влияет, сначала осознайте, для чего вам это нужно):
    Оставив правило DNS, помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд.
    Если таки решили это правило отключить и осознали, зачем вам это надо, обязательно отключите службу DNS-клиент.


    Всё, Интернета нет, как и нет любых других соединений (кроме DHCP и DNS), включая телеметрию. Чтобы убедиться в этом, используйте Wireshark.
    После такой настройки обновления автоматически устанавливаться не будут. Для систем ниже Windows 10 сначала обновите систему, а потом настраивайте правила брандмауэра. Последующие обновления устанавливайте ручками.
    Актуальный список обновлений для Windows 10 см. здесь, рекомендации по обновлению Windows 7 SP1 см. здесь.
    История кумулятивных обновлений для разных версий Windows 10 доступна здесь.
     
  • Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. Иначе говоря, будем создавать "белый" список приложений.
    Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.
     
  • Для того чтобы быстро разобраться, какой программе что нужно открыть в брандмауэре, можно использовать приложение Process Hacker.
    Сборка Process Hacker x86 x64 от Victor_VG или ее русский вариант от KLASS для Windows 10.
    Вопросы по работе Process Hacker (изучите там шапку).
    Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" и запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим, к каким портам, удалённым адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения.
    Для Windows 7 можно воспользоваться набором NetworkTrafficView_russian.
    Также, в любой системе, для отслеживания можно использовать Process Monitor от Марка Руссиновича (в той же теме все вопросы по настройке программы).
     
  • Как добавлять или изменять правила, используя командную строку (команда netsh).
     
  • Контекстное меню в проводнике для файлов .EXE, с помощью которого можно добавлять правила в брандмауэр (Shift+ПКМ).
     
  • Не лишним будет добавить в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.
     
  • Импортируйте свои правила при каждом входе в систему через Планировщик, так как правила от M$ могут быть восстановлены при очередном обновлении.
     
  • Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)
     
  • Также, для удобства создания правил, есть другой инструмент Windows Firewall Control.
    Это надстройка, которая работает в области уведомлений на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws, без необходимости переходить в определённые окна настроек брандмауэра.
     
  • Включить аудит Платформы фильтрации IP-пакетов
     
  • Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell или Netsh
     
  • Проверка брандмауэра на наличие уязвимостей
     
  • Как запретить или разрешить изменять правила брандмауэра. Утилита SubInACL от Microsoft. Нюансы: 1, 2. На сегодня утилита не поддерживается и была убрана с сайта разработчика.
    Ищите в других местах:
    subinacl.exe
    Size: 290 304 Bytes
    CRC32: 90B58A75
    MD5: 53cdbb093b0aee9fd6cf1cbd25a95077
    SHA1: 3b90ecc7b40c9c74fd645e9e24ab1d6d8aee6c2d
    SHA256: 01a2e49f9eed2367545966a0dc0f1d466ff32bd0f2844864ce356b518c49085c
    SHA512: 7335474d6a4b131576f62726c14148acf666e9a2ce54128b23fe04e78d366aa5bdf428fe68f28a42c2b08598d46cada447a4e67d530529b3e10f4282513a425f
     
  • Ещё раз про "секретные, неотключаемые разрешающие правила" RestrictedServices
     
  • Смежные темы:
    Настройка персональных файерволов (firewall rules)
    Бесконтрольность Windows 10
    Быстрая настройка Windows
     
  • Шапку и около-темные вопросы обсуждаем здесь

Всего записей: 11058 | Зарегистр. 12-10-2001 | Отправлено: 20:59 05-03-2017 | Исправлено: WildGoblin, 13:05 15-06-2022
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Victor_VG
Там ответил, а то тут уже отвлеклись немного

Всего записей: 11058 | Зарегистр. 12-10-2001 | Отправлено: 16:49 31-05-2017
Valery_Sh



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Still777

Цитата:
но все равно,  браузеры ФФ и Опера ведут себя одинаково глючно.  
Склоняюсь к мысли , что все дело в какой-то из отключенных служб.

из-за DNS Cache (который клиент на самом деле), вестимо.
 
Писали ж уже, вроде: DNS-серевер предполагает кэширование на клиенте и поток одинаковых запросов может рассматривать как "атаку". Твой же роутер может, кстати.
 
Подробнее...

Всего записей: 2171 | Зарегистр. 30-06-2008 | Отправлено: 18:37 31-05-2017 | Исправлено: Valery_Sh, 18:39 31-05-2017
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Valery_Sh

Цитата:
Писали ж уже, вроде: DNS-серевер предполагает кэширование на клиенте и поток одинаковых запросов может рассматривать как "атаку".
Тот же фыфокс вполне себе сам кэширует dns.

Цитата:
Так же в этом случае нужно блочить и набирающие "популярность" dnscrypt серверы.
Так их под сотню наверное уже - вручную не отследить актуальность (да и смысла особого я в этом не вижу).
 
2All
Кстати по поводу создания нелегитимного туннеля посредством обращения к DNS-серверу - кто-то сталкивался с такими программами в дикой природе? Я к тому, что если какой-нибудь clock.exe начнёт создавать туннель и пересылать, с помощью встроенного в винду DNS-клиента (а не через встроенного клиента мы ему ведь ничего пересылать не дадим), по нему всякое, то через какое время он будет в антивирусных базах (эвристику на него натаскают и т.д.)?
 
Ну и коммерческие программы не будут таким заниматься, а всякую разную дрянь не надо запускать (не в виртуалке по крайней мере).

Всего записей: 29102 | Зарегистр. 15-09-2001 | Отправлено: 21:31 31-05-2017
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Valery_Sh
я ему кинул ссыль на прошу экспериментальную с днс кэшкой основа опенврт
 
Добавлено:
WildGoblin
 

Цитата:
нелегитимного туннеля посредством обращения к DNS-серверу - кто-то сталкивался с такими программами в дикой природе? Я к тому, что если какой-нибудь clock.exe начнёт создавать туннель и пересылать

а как он сможет создать эту трубу? если в системе на это прав у него нет, а в рутере по идее только до прова туннель ну или не туннель... можно поподробнее?

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 21:32 31-05-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
WildGoblin
Что-то давно еще, в старой теме по Directory Opus, было, что научили прогу сливать сертификаты домой по 53 порту,
коль один сертификат засветился из разных точек мира в большом количестве, стало-быть, можно банить.

Всего записей: 11058 | Зарегистр. 12-10-2001 | Отправлено: 21:52 31-05-2017
Valery_Sh



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
WildGoblin

Цитата:
Тот же фыфокс вполне себе сам кэширует dns

обновил толстую страницу в "фыфоксе" - шлёт, сцобака
http://rgho.st/8MJ9Wcqq7
 

Цитата:
да и смысла особого я в этом не вижу

Смысл в том, что если "левые транзитные" рубятся, то появлется, например, возможность назначать "персональные серверы" для клиентов роутера:
) на "детскую группу" клиентов - без взрослых "сайтов".
) для windows клиентов - .... <ваша фантазия>
....
нормальные прошивки это умеют без особых заморочек.

Всего записей: 2171 | Зарегистр. 30-06-2008 | Отправлено: 22:13 31-05-2017 | Исправлено: Valery_Sh, 22:37 31-05-2017
KismetT_v3



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Кстати по поводу создания нелегитимного туннеля посредством обращения к DNS-серверу - кто-то сталкивался с такими программами в дикой природе?  

Есть такие. Как раз недавно про это читал.
Использование DNS-туннеля для связи с C&C и  
Multigrain использует DNS для передачи данных банковских карт.


----------
Это я .... И это тоже я .... Мы из этих

Всего записей: 2471 | Зарегистр. 08-04-2016 | Отправлено: 22:59 31-05-2017 | Исправлено: KismetT_v3, 14:25 01-06-2017
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002

Цитата:
а как он сможет создать эту трубу? если в системе на это прав у него нет...
А что ему может помешать использовать DNS API? Если только антилик какой (типа как у Аутпоста).

Цитата:
...а в рутере по идее только до прова туннель ну или не туннель...
Там по другому устроено.

Цитата:
можно поподробнее?
Вот с этого можно начать, но и "dns туннель" нормально гуглится.
 
Valery_Sh

Цитата:
обновил толстую страницу в "фыфоксе" - шлёт, сцобака
Может быть что-то типа этого настраивали - "network.dnsCacheEntries"?

Цитата:
Смысл в том, что если "левые транзитные" рубятся, то появлется, например, возможность назначать "персональные серверы" для клиентов роутера
Да, интересная возможность (я сейчас как раз ман по iptables курю).

Цитата:
нормальные прошивки это умеют без особых заморочек.
опенврт?
(Хочу её попробовать, но оно похоже слишком много телодвижений требует и результат к тому же не предсказуем.)
 
KismetT_v3

Цитата:
Использование DNS-туннеля для связи с C&C
Вот собственно про это я и говорил - производители антивирусов держат руку на пульсе и детектят программы с подобным функционалом и стало быть нет смысла отключать встроенный DNS-клиент ибо проблема находится в совсем другой плоскости - в антивирусной.
 
P.S. Вторая ссылка у вас нерабочая.

Всего записей: 29102 | Зарегистр. 15-09-2001 | Отправлено: 10:11 01-06-2017
KismetT_v3



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
P.S. Вторая ссылка у вас нерабочая.

Спасибо, поправил.


----------
Это я .... И это тоже я .... Мы из этих

Всего записей: 2471 | Зарегистр. 08-04-2016 | Отправлено: 14:24 01-06-2017
Still777

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Приветствую всех. У меня сейчас нет возможности проверить ваши советы из-за проблем с инетом от провайдера. Сейчас использую смартфон как модем.
Вчера, методом перебора вроде нашел виновника своей проблемы - службу eventlog(Журнал событий Windows, правда, какая у нее связь с инетом , пока не понял), по крайней мере, после ее включения у меня несколько часов не было сбоев в работе браузера, но ближе к вечеру инет пропал полностью, но уже, как позже выяснилось, по вине провайдера.  
Конечно, пока рано делать окончательные выводы, точно скажу когда инет нормально заработает.
Всем признателен за советы.
 
Us2002, твою ссылку получил, спасибо. Это что прошивка с уже  встроенным днскэшом? Звучит заманчиво, но не хочется так  заморачиваться, оставлю напоследок, да и нет никаких гарантий, что именно от этой прошивки будет польза.

Всего записей: 124 | Зарегистр. 14-12-2014 | Отправлено: 17:58 01-06-2017 | Исправлено: Still777, 18:23 01-06-2017
Valery_Sh



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
WildGoblin

Цитата:
опенврт?

Не обязательно. dnsmasq / dhcp-option=tag...
 
Подробнее...

Всего записей: 2171 | Зарегистр. 30-06-2008 | Отправлено: 19:40 01-06-2017 | Исправлено: Valery_Sh, 19:47 01-06-2017
Sraboti

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Все, Интернета - нет, как и нет любых других соединений (кроме DHCP), включая телеметрию.

Проясните по поводу DNS. Мы его не включаем, и пользоваться можем только айпишниками, но не именами?

Всего записей: 142 | Зарегистр. 24-04-2007 | Отправлено: 14:44 15-06-2017
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Sraboti

Цитата:
Проясните по поводу DNS. Мы его не включаем, и пользоваться можем только айпишниками, но не именами?
Включаем конечно - на кой нам только айпишники.

Всего записей: 29102 | Зарегистр. 15-09-2001 | Отправлено: 18:41 15-06-2017
Sraboti

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Включаем конечно - на кой нам только айпишники.

Да просто, странно как-то умолчено об этом в шапке. Вот DHCP мы оставляем, а политику DNS мы оставляем на усмотрение пользователя...

Всего записей: 142 | Зарегистр. 24-04-2007 | Отправлено: 21:40 15-06-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Sraboti
Сам создал правило UDP для каждого приложения, которому нужен выход в Инет.
Кто-то оставляет правило DNS от мелких.
DHCP входящее тоже отключил.
Напишите здесь (ссылка в шапке есть), что добавить в шапку, чтобы понятно было всем, самому пока некогда думать про нее.

Всего записей: 11058 | Зарегистр. 12-10-2001 | Отправлено: 03:50 16-06-2017
Victor_VG



Tracker Mod
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Sraboti
 
Вы можете выключить DNS ибо он безусловно штука вредная и придуман для того, чтобы по нему шпиёны с хозяевами связывались, и попробовать как у вас будет работать сеть. Но, после просьба поделится с нами результатами своего эксперимента.
 
P.S.
 
Иногда говорят думать полезно. Или за вас как за царя бояре и дьяки думают?


----------
Жив курилка! (Р. Ролан, "Кола Брюньон")
Xeon E5 2697v2/C602/128 GB PC3-14900L/GTX 1660 Ti, Xeon E5-2697v2/C602J/128 Gb PC3-14900L/GTX 1660 Ti

Всего записей: 33133 | Зарегистр. 31-07-2002 | Отправлено: 08:14 16-06-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Victor_VG
Сейчас дома через роутер хожу, все те же правила UDP для каждого приложения (для выхода в свет),
в которых строго IP DNS-провайдера и IP роутера. Полет нормальный. У кого то может не работать такая схема,
возможно, зависит от провайдера. Тут действительно надо каждому самому разбираться и нет общей схемы,
чтобы добавить в шапку.
P.S. Правила DNS от мелких удалены.

Всего записей: 11058 | Зарегистр. 12-10-2001 | Отправлено: 08:37 16-06-2017 | Исправлено: KLASS, 08:40 16-06-2017
Victor_VG



Tracker Mod
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS
 
Ну, т.к.у меня DNS и стенка в 3COM под QNX подняты, то я иначе сеть отстроил и у меня BIND опрашивает рутовые сервера.

----------
Жив курилка! (Р. Ролан, "Кола Брюньон")
Xeon E5 2697v2/C602/128 GB PC3-14900L/GTX 1660 Ti, Xeon E5-2697v2/C602J/128 Gb PC3-14900L/GTX 1660 Ti

Всего записей: 33133 | Зарегистр. 31-07-2002 | Отправлено: 09:46 16-06-2017 | Исправлено: Victor_VG, 09:51 16-06-2017
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Victor_VG

Цитата:
Вы можете выключить DNS ибо он безусловно штука вредная и придуман для того, чтобы по нему шпиёны с хозяевами связывались...
Ты зачем людям мозги запудриваешь?
 
Чем вреден DNS-клиент и про каких "шпиёнов" ты говоришь?

Всего записей: 29102 | Зарегистр. 15-09-2001 | Отправлено: 13:30 18-06-2017
Victor_VG



Tracker Mod
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
WildGoblin

Цитата:
Чем вреден DNS-клиент...  
 
Вреден конечно - он же думать заставляет, а это иным товарищам строжайше  противопоказано.
 
   

Цитата:
и про каких "шпиёнов" ты говоришь?

ПМ прочти.

----------
Жив курилка! (Р. Ролан, "Кола Брюньон")
Xeon E5 2697v2/C602/128 GB PC3-14900L/GTX 1660 Ti, Xeon E5-2697v2/C602J/128 Gb PC3-14900L/GTX 1660 Ti





Оффтоп и личная переписка

Всего записей: 33133 | Зарегистр. 31-07-2002 | Отправлено: 15:37 18-06-2017 | Исправлено: KLASS, 19:17 18-06-2017
Открыть новую тему     Написать ответ в эту тему

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Активные темы » Тонкая настройка брандмауэра Windows


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.B0ard
© Ru.B0ard 2000-2024

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru