Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Активные темы » Тонкая настройка брандмауэра Windows

Модерирует : KLASS, IFkO

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117

Открыть новую тему     Написать ответ в эту тему

KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
  • Как видно из описания темы, речь пойдёт о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии, вся "борьба" с которой сводится к отключению/перенастройке почти всех правил Microsoft.
    Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.
     
  • Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности.
    ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:
       
    Отключаем или удаляем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP)
    Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик)
    и Основы сетей - DNS (UDP - исходящий трафик).


    НЕ ОБЯЗАТЕЛЬНО (на слив телеметрии не влияет, сначала осознайте, для чего вам это нужно):
    Оставив правило DNS, помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд.
    Если таки решили это правило отключить и осознали, зачем вам это надо, обязательно отключите службу DNS-клиент.


    Всё, Интернета нет, как и нет любых других соединений (кроме DHCP и DNS), включая телеметрию. Чтобы убедиться в этом, используйте Wireshark.
    После такой настройки обновления автоматически устанавливаться не будут. Для систем ниже Windows 10 сначала обновите систему, а потом настраивайте правила брандмауэра. Последующие обновления устанавливайте ручками.
    Актуальный список обновлений для Windows 10 см. здесь, рекомендации по обновлению Windows 7 SP1 см. здесь.
    История кумулятивных обновлений для разных версий Windows 10 доступна здесь.
     
  • Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. Иначе говоря, будем создавать "белый" список приложений.
    Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.
     
  • Для того чтобы быстро разобраться, какой программе что нужно открыть в брандмауэре, можно использовать приложение Process Hacker.
    Сборка Process Hacker x86 x64 от Victor_VG или ее русский вариант от KLASS для Windows 10.
    Вопросы по работе Process Hacker (изучите там шапку).
    Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" и запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим, к каким портам, удалённым адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения.
    Для Windows 7 можно воспользоваться набором NetworkTrafficView_russian.
    Также, в любой системе, для отслеживания можно использовать Process Monitor от Марка Руссиновича (в той же теме все вопросы по настройке программы).
     
  • Как добавлять или изменять правила, используя командную строку (команда netsh).
     
  • Контекстное меню в проводнике для файлов .EXE, с помощью которого можно добавлять правила в брандмауэр (Shift+ПКМ).
     
  • Не лишним будет добавить в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.
     
  • Импортируйте свои правила при каждом входе в систему через Планировщик, так как правила от M$ могут быть восстановлены при очередном обновлении.
     
  • Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)
     
  • Также, для удобства создания правил, есть другой инструмент Windows Firewall Control.
    Это надстройка, которая работает в области уведомлений на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws, без необходимости переходить в определённые окна настроек брандмауэра.
     
  • Включить аудит Платформы фильтрации IP-пакетов
     
  • Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell или Netsh
     
  • Проверка брандмауэра на наличие уязвимостей
     
  • Как запретить или разрешить изменять правила брандмауэра. Утилита SubInACL от Microsoft. Нюансы: 1, 2. На сегодня утилита не поддерживается и была убрана с сайта разработчика.
    Ищите в других местах:
    subinacl.exe
    Size: 290 304 Bytes
    CRC32: 90B58A75
    MD5: 53cdbb093b0aee9fd6cf1cbd25a95077
    SHA1: 3b90ecc7b40c9c74fd645e9e24ab1d6d8aee6c2d
    SHA256: 01a2e49f9eed2367545966a0dc0f1d466ff32bd0f2844864ce356b518c49085c
    SHA512: 7335474d6a4b131576f62726c14148acf666e9a2ce54128b23fe04e78d366aa5bdf428fe68f28a42c2b08598d46cada447a4e67d530529b3e10f4282513a425f
     
  • Ещё раз про "секретные, неотключаемые разрешающие правила" RestrictedServices
     
  • Смежные темы:
    Настройка персональных файерволов (firewall rules)
    Бесконтрольность Windows 10
    Быстрая настройка Windows
     
  • Шапку и около-темные вопросы обсуждаем здесь

Всего записей: 11058 | Зарегистр. 12-10-2001 | Отправлено: 20:59 05-03-2017 | Исправлено: WildGoblin, 13:05 15-06-2022
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
iifilthii

Цитата:
Кстати встроенный фаер можно научить задавать вопросы разрешить соединение какой либо программы?

Скорее, только входящие, либо, если об этом позаботился разработчик, сам не занимался, да и зачем.
Настройте свою конфигурацию (или несколько) и заливайте, когда нужно.

Цитата:
netsh её похоже не знает....  

Не знает, но знает PowerShell,
только кавычки одинарные, например

Код:
powershell New-NetFirewallRule -DisplayName 'Allow Inbound Telnet' -Direction Inbound -Program %SystemRoot%\System32\tlntsvr.exe -RemoteAddress LocalSubnet -Action Allow –Group 'Telnet Management'


Цитата:
у меня окно Firewall в ProcessHacker не активно...

По работе Process Hacker есть профильная тема, если Windows 7, то в местной шапке другой инструмент.

Всего записей: 11058 | Зарегистр. 12-10-2001 | Отправлено: 19:49 14-08-2017 | Исправлено: KLASS, 19:50 14-08-2017
shadow_member



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Сам брандмауэр Windows отображает предупреждения о безопасности для программ, отличных от служб Windows, которые пытаются прослушивать нежелательный входящий трафик, а входящий трафик блокируется. Эти предупреждения безопасности могут быть включены/отключены из брандмауэра Windows и не могут быть настроены с помощью WFC.
Нет в нем режима обучения, а настройка брандмауэра без стороннего софта сравнима с самоистязанием.
Настраивать для каждого профиля из трех:
 

Всего записей: 22354 | Зарегистр. 18-07-2006 | Отправлено: 08:42 15-08-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Настраивать для каждого профиля из трех:  

А там и настраивать ничего не надо, по умолчанию входящие запрещены и брандмауэр
будет сообщать, если какая программа надумает прописать себе правила для входящих.
А настройка "сложная", пока сам пару строк не составил, а далее уже по накатанной.
Меняй пути и имя правила в netsh, а тонкую настройку уже можно доводить из гуя.
Сторонний софт в топку. )

Всего записей: 11058 | Зарегистр. 12-10-2001 | Отправлено: 09:14 15-08-2017
shadow_member



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS
Цитата:
Сторонний софт в топку. )
 
Это не мое кредо Без стороннего софта, это ...как без любимой девушки, жизнь неполноценна!

Всего записей: 22354 | Зарегистр. 18-07-2006 | Отправлено: 14:07 15-08-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
shadow_member
Только не при настройке системы.
Я по принципу: до включения UWF, ни одна сторонняя программа не имеет право на запуск.
Тогда соблюдено главное правило-при прочих равных.
При запуске, а тем более установке в систему стороннего софта не может
быть и речи о соблюдении этого правила и, как следствие, недопонимание, трата времени на
выяснения откуда ноги у глюка и т.п. А оно надо? )

Всего записей: 11058 | Зарегистр. 12-10-2001 | Отправлено: 19:37 15-08-2017
TVN



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Появилось исходящее:

Цитата:
windows_ie_ac_001
 
Описание - Created by IE
Открываю расположение отправляет в корень С
Раньше не было такого.
Вчера переставил 10 LTSB (свой вариант install.esd, вырезал все, что мне не надо, IE тоже), WFconfiguration.wfw импортируется при установке вместе с тихой установкой WFC, после все проверил, ничего не было...
Что сие значит?

Всего записей: 2605 | Зарегистр. 19-09-2003 | Отправлено: 13:02 16-08-2017
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
shadow_member
 

Цитата:
Нет в нем режима обучения

 
как это нет, а куда он и когда делся при исходящих по умолчанию?

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 15:29 17-08-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002
Исходящие по умолчанию разрешены, а если WF сделал запрос, то значит правила заносятся,
как для исходящих, так и для входящих, например, uTorrent... думаю так.
Если только исходящие, то WF промолчит.

Всего записей: 11058 | Зарегистр. 12-10-2001 | Отправлено: 15:51 17-08-2017
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS

Цитата:
Если только исходящие, то WF промолчит.

с чего б это, он спросит попапом что сделать с прогой которая пытается ломиться, разрешить или заблочить, а после создасть правило

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 16:46 17-08-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002

Цитата:
он спросит попапом что сделать с прогой которая пытается ломиться

О какой программе речь?

Всего записей: 11058 | Зарегистр. 12-10-2001 | Отправлено: 16:47 17-08-2017
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS

Цитата:
О какой программе речь?

ну видимо о той, пакеты которой брендмауэр фильтранул и выдал окошко пользователю для определения дальнейших действий или временного кансела этого определения до следующей фильтрации и следующего запроса  
 
или там более тонко? и намёк на то что без ловли ответного входящего пакета окно для правила не всплывёт?

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 17:09 17-08-2017 | Исправлено: Us2002, 17:12 17-08-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002
Ты о чем, я просто попросил назвать программу, не более...

Всего записей: 11058 | Зарегистр. 12-10-2001 | Отправлено: 17:16 17-08-2017
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS
брендмауер виндовс
любая непрописаная прога в его правилах

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 17:18 17-08-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002
Снова не понял. При установке какой программы брандмауэр Windows выдает запрос на
включение исходящего правила для устанавливаемой программы. Назови любую.

Всего записей: 11058 | Зарегистр. 12-10-2001 | Отправлено: 18:49 17-08-2017
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS
причём тут установка, любая, ну к примеру интернет эксплорер, нэт фреймворк, итд итп  при дефолтной настройке исходящих (не при блокировании)
соединения устанавливаются в основном по тцп С компьютера ДО удалённого хоста, но пакеты-то ходят в обоих направлениях (это не удп который плюнул и забыл, но и там тоже же обсуждался нюанс по днс что достаточно только исходящего и ответный будет получен при определённом таймауте)

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 19:06 17-08-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002
Хорошо, допустим правил для входящих IE у меня нет и он работает, но при запуске портативного
Cent Browser (на основе chromium) брандмауэр Выни задает вопрос о разрешении входящих.
Я вот об этом.
 
Добавлено:
Брандмауэр выни не задает вопросов, если нет запроса на входящие любой программой.
Потому и сказал ранее

Цитата:
Исходящие по умолчанию разрешены

и, если программе нужно выйти в Инет, никаких вопросов от брандмауэра (обучающего режима) не будет.

Всего записей: 11058 | Зарегистр. 12-10-2001 | Отправлено: 19:39 17-08-2017 | Исправлено: KLASS, 19:43 17-08-2017
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
и, если программе нужно выйти в Инет, никаких вопросов от брандмауэра (обучающего режима) не будет.

я предположил что обучающий включается по ответному пакету который в фильтр попадает, как реально оно внутри работает я не в курсе

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 19:49 17-08-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002
Если разрешены по умолчанию исходящие, то нет никакого обучающего режима и брандмауэр будет молчать,
пока не будет запрос на входящие. Если ты нажал ссылку в браузере (исходящие), то он ее должен тупо открыть,
запрос был с твоей стороны.

Всего записей: 11058 | Зарегистр. 12-10-2001 | Отправлено: 19:57 17-08-2017
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS
ок, например этого нет в видимых правилах, но в реестре сервисов есть, как на вход так и на выход, записано в режиме обучения
V2.0|Action=Block|Dir=Out|App=C:\Windows\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe|Svc=clr_optimization_v2.0.50727_32|Name=Block traffic for clr_optimization_v2.0.50727_32|

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 20:32 17-08-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002
Извини, я не понял о чем речь. Есть запись, стало быть ты разрешил (либо, Мелкие за тебя разрешили), но это только при входящих. Никогда нет запроса только при исходящих. Сделай правила по умолчанию и запусти программу которой нужен выход во вне, например, Advanced IP Scaner, Image Uploader, Process Hacker...

Всего записей: 11058 | Зарегистр. 12-10-2001 | Отправлено: 20:39 17-08-2017 | Исправлено: KLASS, 20:44 17-08-2017
Открыть новую тему     Написать ответ в эту тему

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Активные темы » Тонкая настройка брандмауэра Windows


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.B0ard
© Ru.B0ard 2000-2024

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru