Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows

Модерирует : KLASS, IFkO

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112

Открыть новую тему     Написать ответ в эту тему

KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
  • Как видно из описания темы, речь пойдёт о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии, вся "борьба" с которой сводится к отключению/перенастройке почти всех правил Microsoft.
    Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.
     
  • Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности.
    ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:
       
    Отключаем или удаляем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP)
    Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик)
    и Основы сетей - DNS (UDP - исходящий трафик).


    НЕ ОБЯЗАТЕЛЬНО (на слив телеметрии не влияет, сначала осознайте, для чего вам это нужно):
    Оставив правило DNS, помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд.
    Если таки решили это правило отключить и осознали, зачем вам это надо, обязательно отключите службу DNS-клиент.


    Всё, Интернета нет, как и нет любых других соединений (кроме DHCP и DNS), включая телеметрию. Чтобы убедиться в этом, используйте Wireshark.
    После такой настройки обновления автоматически устанавливаться не будут. Для систем ниже Windows 10 сначала обновите систему, а потом настраивайте правила брандмауэра. Последующие обновления устанавливайте ручками.
    Актуальный список обновлений для Windows 10 см. здесь, рекомендации по обновлению Windows 7 SP1 см. здесь.
    История кумулятивных обновлений для разных версий Windows 10 доступна здесь.
     
  • Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. Иначе говоря, будем создавать "белый" список приложений.
    Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.
     
  • Для того чтобы быстро разобраться, какой программе что нужно открыть в брандмауэре, можно использовать приложение Process Hacker.
    Сборка Process Hacker x86 x64 от Victor_VG или ее русский вариант от KLASS для Windows 10.
    Вопросы по работе Process Hacker (изучите там шапку).
    Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" и запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим, к каким портам, удалённым адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения.
    Для Windows 7 можно воспользоваться набором NetworkTrafficView_russian.
    Также, в любой системе, для отслеживания можно использовать Process Monitor от Марка Руссиновича (в той же теме все вопросы по настройке программы).
     
  • Как добавлять или изменять правила, используя командную строку (команда netsh).
     
  • Контекстное меню в проводнике для файлов .EXE, с помощью которого можно добавлять правила в брандмауэр (Shift+ПКМ).
     
  • Не лишним будет добавить в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.
     
  • Импортируйте свои правила при каждом входе в систему через Планировщик, так как правила от M$ могут быть восстановлены при очередном обновлении.
     
  • Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)
     
  • Также, для удобства создания правил, есть другой инструмент Windows Firewall Control.
    Это надстройка, которая работает в области уведомлений на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws, без необходимости переходить в определённые окна настроек брандмауэра.
     
  • Включить аудит Платформы фильтрации IP-пакетов
     
  • Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell или Netsh
     
  • Проверка брандмауэра на наличие уязвимостей
     
  • Как запретить или разрешить изменять правила брандмауэра. Утилита SubInACL от Microsoft. Нюансы: 1, 2. На сегодня утилита не поддерживается и была убрана с сайта разработчика.
    Ищите в других местах:
    subinacl.exe
    Size: 290 304 Bytes
    CRC32: 90B58A75
    MD5: 53cdbb093b0aee9fd6cf1cbd25a95077
    SHA1: 3b90ecc7b40c9c74fd645e9e24ab1d6d8aee6c2d
    SHA256: 01a2e49f9eed2367545966a0dc0f1d466ff32bd0f2844864ce356b518c49085c
    SHA512: 7335474d6a4b131576f62726c14148acf666e9a2ce54128b23fe04e78d366aa5bdf428fe68f28a42c2b08598d46cada447a4e67d530529b3e10f4282513a425f
     
  • Ещё раз про "секретные, неотключаемые разрешающие правила" RestrictedServices
     
  • Смежные темы:
    Настройка персональных файерволов (firewall rules)
    Бесконтрольность Windows 10
    Быстрая настройка Windows
     
  • Шапку и около-темные вопросы обсуждаем здесь

Всего записей: 10449 | Зарегистр. 12-10-2001 | Отправлено: 20:59 05-03-2017 | Исправлено: WildGoblin, 13:05 15-06-2022
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
WildGoblin
Видимо вино уже подействовало.

Всего записей: 10449 | Зарегистр. 12-10-2001 | Отправлено: 11:21 05-10-2022
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS

Цитата:
Видимо вино уже подействовало.

А если по существу и без офтопа?

----------
Capitalism is the Virus.
Вот откуда вы такие берётесь, мне интересно?

Всего записей: 23469 | Зарегистр. 15-09-2001 | Отправлено: 13:31 05-10-2022
Muznark



Full Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
здесь я был невнимателен

Всего записей: 483 | Зарегистр. 16-11-2004 | Отправлено: 20:26 06-11-2022 | Исправлено: Muznark, 20:31 06-11-2022
icijafi

Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS, большое спасибо за Вашу инструкцию. Вы не представляете насколько она полезна. Наткнулся на Ваш мануал несколько лет назад и удивился от осознания того, насколько просто и эффективно можно настроить файрволл. До этого момента всегда считал, что это очень сложно, однако как показала практика всё настраивается за 10 минут. Маленький совет для тех, кто не разбирается во встроенном брандмауэре Windows или не знает, какие разрешения необходимо выставить для конкретной программы - используйте WFC (Windows Firewall Control, есть ветка на данном форуме). Там есть лог исходящий и входящих соединений и прямо из этой программы можно удалять/добавлять правила. Ещё раз спасибо, KLASS.

Всего записей: 30 | Зарегистр. 20-12-2017 | Отправлено: 12:10 23-11-2022
PaulPSS

Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Не могу понять, что за входящие на DHCP svchost на 443 порт. Svchost открыт только для портов dhcp и только для этой службы. Остальные порты заблочены. DNScache отключен. Использую dnscrypt-proxy. Вирусов нет. Проверено 4-мя сканерами (AVG, Kaspersky и тд).
 
Похоже на ответ ДНС ресолверов (DNScrypt протокол). И действительно, пару раз наблюдал запросы со стороны DHCP службы на 53 порт, который на localhost (на 127.0.0.1 : 53 слушает dnscrypt proxy service).  Что службе DHCP надо от DNS ресолвера? И почему Windows Firewall пропускает?  
 
***
Платформа фильтрации Windows разрешила подключение.
 
Сведения о приложении:
    Идентификатор процесса:        1860
    Имя приложения:    \device\harddiskvolume3\windows\system32\svchost.exe
 
Сведения о сети:
    Направление:        Входящие
    Адрес источника:        192.168.0.100
    Порт источника:        52992
    Адрес назначения:    166.0.169.162
    Порт назначения:        443
    Протокол:        17
 
Сведения о фильтре:
    Код выполнения фильтра:    208412
    Имя уровня:        Получить/Принять
    Код выполнения уровня:    44
***

Всего записей: 17 | Зарегистр. 19-05-2014 | Отправлено: 11:50 24-11-2022 | Исправлено: PaulPSS, 14:25 24-11-2022
Death_INN

Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
PaulPSS

Цитата:
Svchost открыт только для портов dhcp и только для этой службы. Остальные порты заблочены. DNScache отключен

В Win7 это работает всегда, а в Win10 либо иногда, либо никогда, т.е. разрешение Svchost только для какой-то одной службы подразумевает разрешение для всех служб

Всего записей: 2513 | Зарегистр. 24-10-2002 | Отправлено: 17:20 24-11-2022
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
PaulPSS

Цитата:
Не могу понять, что за входящие на DHCP svchost на 443 порт.

Так посмотрите - сидит у вас что-то на 443 порту в системе и если нет, то плевать что там за входящие из инета идут. А если сидит и вы не хотите что бы что-то к нему конектилось из инета так на то и белый список правил ("что явно не разрешено, то запрещено").

Цитата:
DNScache отключен.

Очень неразумное решение не имеющее к безопасности никакого отношения.

Цитата:
Похоже на ответ ДНС ресолверов (DNScrypt протокол).

Резолверы не будут сами устанавливать с вами соединения - они лишь отвечают на ваш запрос.

Цитата:
И действительно, пару раз наблюдал запросы со стороны DHCP службы на 53 порт...

DHCP не занимается разрешением имён - её задача получить конфигурацию от роутера.
 
Death_INN

Цитата:
...в Win10 либо иногда, либо никогда, т.е. разрешение Svchost только для какой-то одной службы подразумевает разрешение для всех служб

Не так - разрешение для конкретной службы может либо работать, либо (что гораздо чаще) не работать вообще и потому надо создавать правила для самого svchost.

----------
Capitalism is the Virus.
Вот откуда вы такие берётесь, мне интересно?

Всего записей: 23469 | Зарегистр. 15-09-2001 | Отправлено: 18:16 24-11-2022
PaulPSS

Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Так посмотрите - сидит у вас что-то на 443 порту в системе и если нет, то плевать что там за входящие из инета идут. А если сидит и вы не хотите что бы что-то к нему конектилось из инета так на то и белый список правил ("что явно не разрешено, то запрещено").  

Перечитайте моё сообщение. Все порты, (кроме DHCP in-out 68/67) дополнительно принудительно закрыты. И, разумеется, режим белого списка к тому же. Входящие идут именно на svchost DHCP на 443, 80 итд порты, указанные в dnscrypt proxy. Очень похоже на то, что Death_INN близок к истине.
 

Цитата:
Очень неразумное решение не имеющее к безопасности никакого отношения.
 

Нет никакого преимущества данной службы по сравнению с локальным dnscrypt proxy. Наоборот, есть угрозы (см. шапку - DNS tunneling, и ISP dns hijacking)
 

Цитата:
DHCP не занимается разрешением имён - её задача получить конфигурацию от роутера.

Поверьте, я знаю, что такое DHCP. Именно поэтому вопрос и был задан.
 
Что-то мне подсказывает, что решение кроется в том, что я создал hard-link svchost->svchost-fw, как это используется для службы обновления (описано в данной ветке). Правда, я привязал линк к службе криптографии для проверки действительности сертификатов, но, думаю, не это важно. А совместное использование с локальным dns proxy и то, что предположил Death_INN. Во-общем, надо разбираться
 
 

Всего записей: 17 | Зарегистр. 19-05-2014 | Отправлено: 18:44 25-11-2022 | Исправлено: PaulPSS, 18:56 25-11-2022
Death_INN

Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Входящие подключения инициализируются в зависимости от разрешенных исходящих, однако могут пройти и другие входящие, если настройки такие же как на трех скринах в шапке темы, т.к. "блокировать (по умолчанию)" и "блокировать все подключения" - это не одно и тоже
PaulPSS, не я предположил про svchost, а это уже обсуждалось, например, здесь

Всего записей: 2513 | Зарегистр. 24-10-2002 | Отправлено: 19:08 25-11-2022 | Исправлено: Death_INN, 19:20 25-11-2022
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
PaulPSS

Цитата:
Входящие идут именно на svchost DHCP на 443, 80 итд порты, указанные в dnscrypt proxy.

Не может быть у DHCP никаких входящих на 443 и 80 портах так как этот рпотокол работает только с помощью портов 67 и 68, а всё что от них отличается не является работой DHCP.

Цитата:
Нет никакого преимущества данной службы по сравнению с локальным dnscrypt proxy. Наоборот, есть угрозы (см. шапку - DNS tunneling, и ISP dns hijacking)

То что предположительно может утечь через стандартный днс-клиент совершенно так же может легко утечь и через dnscrypt - странно что это понимают не все.

Цитата:
Поверьте, я знаю, что такое DHCP.

В честь чего мне вам верить когда вы совершаете такие грубые ошибки и демонстрируете полное незнание предмета о котором рассуждаете?
 
Death_INN

Цитата:
...а это уже обсуждалось, например, здесь

Кстати вот именно для w32time можно создать правило для службы и оно работает - так же как и правила для dhcp, dnscache и netprofm.

----------
Capitalism is the Virus.
Вот откуда вы такие берётесь, мне интересно?

Всего записей: 23469 | Зарегистр. 15-09-2001 | Отправлено: 15:36 27-11-2022
PaulPSS

Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Не может быть у DHCP никаких входящих на 443 и 80 портах так как этот протокол работает только с помощью портов 67 и 68, а всё что от них отличается не является работой DHCP


Цитата:
В честь чего мне вам верить когда вы совершаете такие грубые ошибки и демонстрируете полное незнание предмета о котором рассуждаете?  

 
Именно потому, что в этом не логики, это вопрос и был задан. Но уже 2 сообщения подряд Вы не предлагаете возможных объяснений, а (зачем-то) выступаете с неуместной критикой. К сожалению, я не могу прикрепить скриншот из программы WFC или Process Hacker, чтобы наглядно показать, что входящие на 443, 80 и другие порты dnscrypt proxy идут на DHCP службу. А, главное, что запрос пробивает файер при явном запрете указанных портов.  
 

Цитата:
То что предположительно может утечь через стандартный днс-клиент совершенно так же может легко утечь и через dnscrypt - странно что это понимают не все

Я упомянул 2 проблемы dns tunneling и isp hijacking.  
 
Отключенный dnscache и явные разрешения использования 53 порта как раз может решить проблему dns tunneling, при условии, что программы с доступом к порту - чистые. Я согласен, что Dnscrypt proxy тут роли не играет, если нет явного запрета 53 порта приложениям. Но это можно сделать и с dnscache.  
 
Но, вторая проблема, которую я упомянул, - это isp dns hijacking. dnscrypt proxy решает этот вопорос и в некоторой степени, решает и вопрос dns tunneling, если используются ресолверы, отслеживающие malware сайты. (Кстати, к dns proxy также можно прикрутить обновляемый список malware сайтов, но это уже другая история.)

Всего записей: 17 | Зарегистр. 19-05-2014 | Отправлено: 07:24 28-11-2022 | Исправлено: PaulPSS, 07:30 28-11-2022
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
PaulPSS

Цитата:
Но уже 2 сообщения подряд Вы не предлагаете возможных объяснений...

Вот если честно, то не видя запущенных процессов, настроенных правил и остального всего 100500 разного можно только лишь гадать и никаких 100% верных ответов быстро дать не получится.
 
Ну и то что у вас там ходит по 80 и 443 портам это наверняка не DHCP и установить/опровергнуть это вы легко если посмотрите трафик снифером.

Цитата:
К сожалению, я не могу прикрепить скриншот из программы...

Можете его загрузить например туда, а тут просто ссылку дать.

Цитата:
...идут на DHCP службу.

Как вы определяете что трафик идёт на конкретную службу (которая просто не сидит на указанных вами портах) - вы же можете только видеть что он пытается идти на на хост для служб (svchost)?

Цитата:
А, главное, что запрос пробивает файер при явном запрете указанных портов.

Почти наверняка это какая-то ошибка в настройке.

Цитата:
Я упомянул 2 проблемы dns tunneling и isp hijacking.

Ну так вот от первой dnscrypt не защищает.

Цитата:
Отключенный dnscache и явные разрешения использования 53 порта как раз может решить проблему dns tunneling...

Нет - если вы допускаете, что у вас легко может поселиться зловред который будет что-то там куда-то пересылать, то никаким FW вы его не остановите и все эти манипуляции с днс-клиентом бесполезны.

Цитата:
Но, вторая проблема, которую я упомянул, - это isp dns hijacking. dnscrypt proxy решает этот вопорос...

Мы ведь не про это сейчас тут говорим... но к слову я, в том числе, проблему с isp dns hijacking решаю радикально - с помощью ВПН.

Цитата:
Кстати, к dns proxy также можно прикрутить обновляемый список malware сайтов...

Понятное дело - я такое в Pi-hole использую.

----------
Capitalism is the Virus.
Вот откуда вы такие берётесь, мне интересно?

Всего записей: 23469 | Зарегистр. 15-09-2001 | Отправлено: 14:46 28-11-2022
Chekushka05

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
WildGoblin

Цитата:
Мы ведь не про это сейчас тут говорим... но к слову я, в том числе, проблему с isp dns hijacking решаю радикально - с помощью ВПН.

dnscrypt proxy в таком случае есть смысл использовать вместе с ВПН отключив виндовую службу ДНС?

Всего записей: 54 | Зарегистр. 31-03-2022 | Отправлено: 15:32 28-11-2022
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Chekushka05

Цитата:
dnscrypt proxy в таком случае есть смысл использовать вместе с ВПН отключив виндовую службу ДНС?

Виндового клиента я вообще не вижу смысла отключать, а так да - устанавливаем впн, а через него уже выпускаем dnscrypt proxy, Pi-hole или что там у вас ещё есть.


----------
Capitalism is the Virus.
Вот откуда вы такие берётесь, мне интересно?

Всего записей: 23469 | Зарегистр. 15-09-2001 | Отправлено: 17:48 28-11-2022
Открыть новую тему     Написать ответ в эту тему

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.B0ard
© Ru.B0ard 2000-2023

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru