Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows

Модерирует : KLASS, IFkO

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128

Открыть новую тему     Написать ответ в эту тему

KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
  • Как видно из описания темы, речь пойдёт о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии, вся "борьба" с которой сводится к отключению/перенастройке почти всех правил Microsoft.
    Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.
     
  • Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности.
    ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:
       
    Отключаем или удаляем все входящие правила MS, кроме Основы сетей - протокол DHCP (вх. трафик DHCP)
    Отключаем или удаляем все исходящие правила MS, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик)
    и Основы сетей - DNS (UDP - исходящий трафик).


    НЕ ОБЯЗАТЕЛЬНО (на слив телеметрии не влияет, сначала осознайте, для чего вам это нужно):
    Оставив правило DNS, помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд.
    Если таки решили это правило отключить и осознали, зачем вам это надо, обязательно отключите службу DNS-клиент.


    Всё, Интернета нет, как и нет любых других соединений (кроме DHCP и DNS), включая телеметрию. Чтобы убедиться в этом, используйте программу Wireshark.
    Вопросы по работе программы Wireshark там.
    После такой настройки обновления системы и антивируса Microsoft Defender автоматически устанавливаться не будут. Последующие обновления устанавливайте ручками.
    Здесь берем свежие базы антивируса Microsoft Defender.
    Кумулятивные обновления для системы берем в Каталоге Центра обновления Майкрософт.
    Журнал обновлений разных версий Windows 10.
    Журнал обновлений разных версий Windows 11.
     
  • Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. Иначе говоря, будем создавать "белый" список приложений.
    Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.
     
  • Для того чтобы быстро разобраться, какой программе что нужно открыть в брандмауэре, можно использовать приложение Process Hacker (ныне System Informer).
    Сборка Process Hacker x86 x64 от Victor_VG или ее русский вариант от KLASS для Windows 10.
    Вопросы по работе Process Hacker (ныне System Informer) (изучите там шапку).
    Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" и запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим, к каким портам, удалённым адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения.
    Для Windows 7 можно воспользоваться набором NetworkTrafficView_russian.
    Также, в любой системе, для отслеживания можно использовать Process Monitor от Марка Руссиновича (в той же теме все вопросы по настройке программы).
     
  • Как добавлять или изменять правила, используя командную строку (команда netsh).
     
  • Контекстное меню в проводнике для файлов .EXE, с помощью которого можно добавлять правила в брандмауэр (Shift+ПКМ).
     
  • Не лишним будет добавить в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.
     
  • Импортируйте свои правила при каждом входе в систему через Планировщик, так как правила от MS могут быть восстановлены при очередном обновлении.
     
  • Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)
     
  • Также, для удобства создания правил, есть программа Windows Firewall Control, все вопросы по ней в той теме и обсуждайте.
    Это надстройка, которая работает в области уведомлений на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws, без необходимости переходить в определённые окна настроек брандмауэра.
     
  • Еще одна программа для удобства создания правил Firewall App Blocker | FAB.
     
  • Включить аудит Платформы фильтрации IP-пакетов
     
  • Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell или Netsh
     
  • Проверка брандмауэра на наличие уязвимостей
     
  • Как запретить или разрешить изменять правила брандмауэра. Утилита SubInACL от Microsoft. Нюансы: 1, 2. На сегодня утилита не поддерживается и была убрана с сайта разработчика.
    Ищите в других местах:
    subinacl.exe
    Size: 290 304 Bytes
    CRC32: 90B58A75
    MD5: 53cdbb093b0aee9fd6cf1cbd25a95077
    SHA1: 3b90ecc7b40c9c74fd645e9e24ab1d6d8aee6c2d
    SHA256: 01a2e49f9eed2367545966a0dc0f1d466ff32bd0f2844864ce356b518c49085c
    SHA512: 7335474d6a4b131576f62726c14148acf666e9a2ce54128b23fe04e78d366aa5bdf428fe68f28a42c2b08598d46cada447a4e67d530529b3e10f4282513a425f
     
  • Ещё раз про "секретные, неотключаемые разрешающие правила" RestrictedServices
     
  • Смежные темы:
    Настройка персональных файерволов (firewall rules)
    Бесконтрольность Windows 10
    Быстрая настройка Windows
     
  • Шапку и около-темные вопросы обсуждаем там

Всего записей: 11753 | Зарегистр. 12-10-2001 | Отправлено: 20:59 05-03-2017 | Исправлено: KLASS, 19:24 22-07-2025
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
CruSanodeR
Определись сам, нужно тебе это или как... за обновами видать ходят
 
Добавлено:
Хотя, зачем обновам вход к тебе... услышал?

Всего записей: 11753 | Зарегистр. 12-10-2001 | Отправлено: 13:57 02-04-2017 | Исправлено: KLASS, 13:19 24-01-2020
CruSanodeR



Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS
именно так, не за чем им ходить за обновами)
Исходящие закрыты, но они создали входящие правила. Как они пойдут-то за обновами, если нет выхода у них?

Всего записей: 220 | Зарегистр. 30-09-2015 | Отправлено: 14:28 02-04-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
CruSanodeR
Так удали вабче или будешь дальше думать, ЧТО с этим делать?

Всего записей: 11753 | Зарегистр. 12-10-2001 | Отправлено: 16:58 02-04-2017
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
https://npo-echelon.ru/production/65/4291
https://npo-echelon.ru/production/65/11246
https://npo-echelon.ru/production/65/4186

Всего записей: 1811 | Зарегистр. 03-02-2005 | Отправлено: 17:44 02-04-2017 | Исправлено: Us2002, 17:55 02-04-2017
LevT



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002
Даёшь всем участникам этой темы по "эшелону"  
Сразу две штуки!!

Всего записей: 18151 | Зарегистр. 14-10-2001 | Отправлено: 17:52 02-04-2017 | Исправлено: LevT, 17:53 02-04-2017
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
LevT
от жешь не успел дать ссыль а ты уже 2 штука в руки натуральных запросил =)

Всего записей: 1811 | Зарегистр. 03-02-2005 | Отправлено: 17:57 02-04-2017
CruSanodeR



Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002
вооооооо, эшелон то, что надо.  
СКАНЕР-ВС нормальная вещь, только пока ключ для него не нашел.

Всего записей: 220 | Зарегистр. 30-09-2015 | Отправлено: 18:00 02-04-2017
DimonKP



Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
В некоторых случаях (virtualbox) софт при обновлении заново добавляет свои правила в firewall.
Есть ли от этого "спасение" штатными средствами?
P.S.: ручные обновления от админа, вот оно и добавляет.
P.P.S.: BiniSoft Windows Firewall Control имеет следующую фичу:
"√ Disable the ability of other programs to add Windows Firewall rules."

Всего записей: 110 | Зарегистр. 12-11-2009 | Отправлено: 08:23 03-04-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
DimonKP
Импорт заведомо экспортированных своих правил при загрузке_компа\входе_в_систему.
При этом в тех своих правилах не лишним добавить отключение Инета.
 
Добавлено:
shadow_member
Поправил твой пост (заменил # на @) и добавил ссылку в шапку.

Всего записей: 11753 | Зарегистр. 12-10-2001 | Отправлено: 08:36 03-04-2017 | Исправлено: KLASS, 08:44 03-04-2017
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
DimonKP

Цитата:
Есть ли от этого "спасение" штатными средствами?
Только если не давать софту запускаться с правами администратора - в ином случае решения штатными средствами нет.

Цитата:
P.P.S.: BiniSoft Windows Firewall Control имеет следующую фичу:
WFC - да, справляется с этой проблемой.
 
KLASS

Цитата:
Импорт заведомо экспортированных своих правил при загрузке_компа\входе_в_систему.
А пока не перезагрузишься всё будет утекать.

Всего записей: 34273 | Зарегистр. 15-09-2001 | Отправлено: 08:54 03-04-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
WildGoblin
Не, ну делай импорт сразу ручками после обновления софта.
А импорт при загрузке\выходе пригодится после обновления самой системы и софта, требующего
перезагрузку после обновления.
DimonKP
А чего за софт, который правит свои правила после обновления. Может чего и придумать с ним, огласите весь список, пожалуйста (С)

Всего записей: 11753 | Зарегистр. 12-10-2001 | Отправлено: 09:08 03-04-2017
DimonKP



Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS
1) Понял, тогда уж лучше  BiniSoft Windows Firewall Control.
2) вместо правила на блокирования может добавить программное отключение всех сетевых интерфейсов? (если в диспетчере устройств отключить, то они не включатся, даже при обновлении\апгрейде). автоматически при входе\выходе в систему.
p.s.: у меня физический переключатель радиоинтерфйсов на ноуте =)
p.p.s: решение для LAN и т.п.:
а) поиск интерфейсов
netsh interface show interface
выдаст что-то наподобие
Admin State    State                  Type             Interface Name
-------------------------------------------------------------------------
Enabled           Connected         Dedicated     Wireless Network Connection
Disabled          Disconnected    Dedicated     Local Area Connection
выберете нужное с крайней правой колонки
б) создаете 2 батника с названиями Enable ... и Disable ...
в) соответственно содержание для Enable ...
@echo on
timeout /t 10
netsh interface set interface "..." ENABLED
и для Disable ...
@echo on
timeout /t 10
netsh interface set interface "..." DISABLED
г) вместо точек ставите название своего Interface Name, например Local Area Connection.
Время вместо 10 секунд (timeout /t 10) - указываете своё, в секундах.
д) создаёте 2 одноимённых (с батниками) правила в планировщике заданий соответственно при входе\выходе из системы.
Задержка в 5-10 секунд (10-ти для большинства достаточно).
Добавьте в каждом случае выполнение своего скрипта (через "Действие" => "запустить программу").
 
WildGoblin
Понял, просто иначе он не обновляется (весь, который драйвера в себе несёт).

Всего записей: 110 | Зарегистр. 12-11-2009 | Отправлено: 09:22 03-04-2017
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS

Цитата:
Не, ну делай импорт сразу ручками после обновления софта.
Сие банально, да и всё равно момент будет упущен.

Цитата:
А чего за софт, который правит свои правила после обновления.
Айтюнс, фыфокс, дропбокс, стим - несть числа им (по сути любой софт может добавлять/удалять/изменять правила брандмауэра если у него есть административные привилегии).

Всего записей: 34273 | Зарегистр. 15-09-2001 | Отправлено: 09:26 03-04-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
DimonKP

Цитата:
может добавить программное отключение всех сетевых интерфейсов? (если в диспетчере устройств отключить, то они не включатся, даже при обновлении\апгрейде)

Софт, обновляемый через Инет и установленный в системе, будет "не доволен", а вот мне, у которого нет софта в системе, вполне себе разумно заюзать.
WildGoblin
Уууу, такая шняга как itunes давно убита на всех компах и у всех юзеров, только облака.
А дропбокс чего то стучит что-ли?

Всего записей: 11753 | Зарегистр. 12-10-2001 | Отправлено: 09:34 03-04-2017
DimonKP



Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS
если нет никакого сетевого подключения, то лезть в интернет софт не будет. Кроме того, я "написал" инструкцию для автоматизации сего. Подключение появится через 10 сек после входа в систему, вот тогда софт и полезет в интернет.
Перед выходом\выключением интерфейсы выключатся.

Всего записей: 110 | Зарегистр. 12-11-2009 | Отправлено: 09:53 03-04-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
DimonKP
Я же про обновление софта, который у вас установлен в системе и который после обновления изменяет правила, а вы про отключение интерфейсов при выходе\входе.
 
Добавлено:
Добавил ссылку на пост для отключения интерфейсов в шапку.

Всего записей: 11753 | Зарегистр. 12-10-2001 | Отправлено: 09:59 03-04-2017
DimonKP



Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS
Подождите. Я, наверное, всё запутал...
1) самообновление через сам софт я не использую (кроме браузера), всё сам - через браузер\wget
2) для 95% софта интернет для работы не нужен, но правила создаёт...
3) моя инструкция - только альтернатива\дополнение для оптимизации скрипту в шапке

Всего записей: 110 | Зарегистр. 12-11-2009 | Отправлено: 10:23 03-04-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
DimonKP
2) Во как, а чего это за муть такая?

Всего записей: 11753 | Зарегистр. 12-10-2001 | Отправлено: 10:34 03-04-2017
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS

Цитата:
Уууу, такая шняга как itunes давно убита на всех компах и у всех юзеров, только облака.
Звучит так будто ты по клавиатуре просто постучал.

Цитата:
А дропбокс чего то стучит что-ли?
Стучит конечно и ведёт себя хозяйски нагло.

Всего записей: 34273 | Зарегистр. 15-09-2001 | Отправлено: 10:56 03-04-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
WildGoblin
Мне многие вещи могут казаться странными и неразумными, потому как нет софта в системе, отсюда и "простучать по клаве" еще не так могу

Всего записей: 11753 | Зарегистр. 12-10-2001 | Отправлено: 11:04 03-04-2017
Открыть новую тему     Написать ответ в эту тему

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.B0ard
© Ru.B0ard 2000-2025

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru