Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows

Модерирует : KLASS, IFkO

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56

Открыть новую тему     Написать ответ в эту тему

KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
  • Из описания темы видно, что речь пойдет о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии,
    вся "борьба" с которой сводится к отключению\перенастройке почти всех правил Microsoft.
    Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.
     
  • Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности.
    ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:
       
    Отключаем или удаляем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP)
    Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик)
    и Основы сетей - DNS (UDP - исходящий трафик), но оставив это правило DNS помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд.
    Потому для верности, создавайте правила DNS для каждой программы из белого списка, а правило Основы сетей - DNS (UDP - исходящий трафик) предпочтительно тоже отключить.
    Отключив правило, обязательно отключите службу DNS-клиент
    Все, Интернета - нет, как и нет любых других соединений (кроме DHCP), включая телеметрию. Чтобы убедиться в этом используйте Wireshark.
    После такой настройки, обновления автоматически устанавливаться не будут. Для систем ниже Windows 10 сначала обновите систему, а потом настраивайте правила брандмауэра.
    Последующие обновления устанавливайте ручками.
    Актуальный список обновлений для Windows 10 и рекомендации по обновлению Windows 7 SP1
    История кумулятивных обновлений для разных версий Windows 10
     
  • Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. По другому, будем создавать белый список приложений.
    Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.
     
  • Для того, чтобы быстро разобраться какой программе, что нужно открыть в брандмауэре, можно использовать приложение Process Hacker с надстройками.
    Текущая английская сборка от Victor_VG или локализованная сборка от KLASS для Windows 10 версии не ниже 1607 Build 14393.
    Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" (на Windows 7 не работает, используйте набор NetworkTrafficView_russian) и
    запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим к каким портам,
    удаленным адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения.
     
  • Как добавлять или изменять правила используя командную строку (команда netsh).
     
  • Контекстное меню в проводнике для файлов .EXE, при помощи которого можно добавлять правила в брандмауэр (Shift+ПКМ).
     
  • Не лишним будет добавление в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.
     
  • Импортируйте свои правила при каждом входе в систему через Планировщик, т.к. правила от M$ могут быть восстановлены при очередном обновлении
     
  • Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)
     
  • Также, для удобства создания правил, есть другой инструмент Windows Firewall Control.
    Это надстройка, которая работает в системном трее на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws,
    без необходимости переходить в определённые окна настроек брандмауэра.
     
  • Включить аудит Платформы фильтрации IP-пакетов
     
  • Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell
     
  • Проверка брандмауэра на наличие уязвимостей
     
  • Смежные темы:
    Настройка персональных файерволов (firewall rules)
    Бесконтрольность Windows 10
    Быстрая настройка Windows
     
  • Шапку и около-темные вопросы обсуждаем здесь

Всего записей: 7219 | Зарегистр. 12-10-2001 | Отправлено: 20:59 05-03-2017 | Исправлено: KLASS, 13:53 28-06-2018
IamTheNight



Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS
Позвольте, речь о локальных портах... их нельзя блокировать.
И повлияйте как-то на эту * - shadow_member.
shadow_member
Назвала бы ты меня "чуваком" при личной встрече, я б те * далее непереводимая игра слов (С)




Как все запущено, отдыхаем неделю

Всего записей: 352 | Зарегистр. 29-03-2016 | Отправлено: 12:06 23-05-2018 | Исправлено: KLASS, 12:20 23-05-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
IamTheNight

Цитата:
их нельзя блокировать

Для SVCHOST все заблокировано, что не разрешено.
А почему нельзя, пример приведите...

Всего записей: 7219 | Зарегистр. 12-10-2001 | Отправлено: 12:12 23-05-2018
Timius1

Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Timius1  
Добавляем при настройке системы сразу нужные сервера времени:  
 
Код:
 
Windows Registry Editor Version 5.00  
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\DateTime\Servers]  
@="0"  
"0"="88.147.254.228"  
"1"="88.147.254.229"  
 
 
 
Добавляем правило в брандмауэр:  
 
Код:
 
netsh advfirewall firewall add rule name="Синхронизация времени (UDP - исходящий трафик)" dir=Out action=Allow program="C:\Windows\system32\svchost.exe" protocol=UDP remoteport=123 localport=123 remoteip=88.147.254.228,88.147.254.229  
 
 
 
Добавлено:  
Кстати, в шапке же есть это правило... люди то старались )

 
Помогло!!! Спасибо!!!
Без DNS работает!!!)))

Всего записей: 5 | Зарегистр. 17-05-2018 | Отправлено: 12:12 23-05-2018
Valery_Sh



Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
А чего б ему не работать.... Если у кого возникают сомнения, их может развеять wireshark. Ставим нужные фильтры и смотрим.
 
 

Всего записей: 1469 | Зарегистр. 30-06-2008 | Отправлено: 13:45 23-05-2018
harrykkk



Full Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS

Цитата:
Если проверка запросом к одному из серверов Микрософт отключена в групповой политике?

Можно подробней процесс отключения?

Всего записей: 490 | Зарегистр. 24-02-2013 | Отправлено: 19:03 31-05-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
harrykkk

Всего записей: 7219 | Зарегистр. 12-10-2001 | Отправлено: 20:00 31-05-2018
harrykkk



Full Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Если это отключить, то при отсутствии связи значок сети в трее уже не пожелтеет?

Всего записей: 490 | Зарегистр. 24-02-2013 | Отправлено: 21:45 31-05-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
На всякий напомню, как у самого настроено.
Политика, указанная выше, включена.
Сетевой адаптер при входе в систему всегда отключен (об этом есть в шапке),
в связи с тем, что когда еще отлавливал несанкционированные соединения по IP адресам,
то бывали случаи (не при каждой загрузке), что Wireshark вылавливал несколько
несанкционированных IP именно при загрузке системы. IP было не много, но сам факт.  
После входа в систему жамкаю ярлык (можно автоматизировать), который запускает
задание в планировщике на включение сетевого адаптера. И вот после включения
значок сети желтеет (восклицательный знак) даже при наличии связи, но не надолго.
Тут же жамкаю батник, который запускает программы нужные мне всегда и когда уже браузер
и Voyager при запуске стукаются в сеть, то восклицательный знак исчезает.
Рассудил так, если у меня нет Инета (скажем, провайдер глюканул), то я это увижу
и без активных проверок индикатором (читай, системой) работоспособности сетевых подключений ).
 
Добавлено:
PS, да значок разумеется пожелтеет при отсутствии связи, мало того, может вабче покраснеть )
 
Добавлено:

После уже запустил батник с программами и через минуту восклицательный знак
пропал, хотя форум открылся в течении этой минуты и Инет работал.

Всего записей: 7219 | Зарегистр. 12-10-2001 | Отправлено: 22:26 31-05-2018 | Исправлено: KLASS, 22:33 31-05-2018
harrykkk



Full Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
DimonKP

Цитата:
создаёте 2 одноимённых (с батниками) правила в планировщике заданий соответственно при входе\выходе из системы.

W8.1 Pro. Не нашел событие при выходе из системы. Его там нет, или я не там ищу?

Всего записей: 490 | Зарегистр. 24-02-2013 | Отправлено: 15:32 01-06-2018
shadow_member



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Выключение сетевых адаптеров батником при выключении машины можно сделать через групповые политики в "Сценариях (запуск/завершение)".
А включать лучше батником вручную, ведь после загрузки машина может простоять без дела некоторое время. Иначе нет смысла выключать адаптеры только на время выключения машины.

Всего записей: 15516 | Зарегистр. 18-07-2006 | Отправлено: 16:48 01-06-2018 | Исправлено: shadow_member, 16:52 01-06-2018
harrykkk



Full Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
shadow_member

Цитата:
Выключение сетевых адаптеров батником при выключении машины можно сделать через групповые политики в "Сценариях (запуск/завершение)".

Это не сработало, т.к. эта ГП запускает скрипт с обычными привилегиями и поэтому ничего не происходит. Чтобы скрипт запускался с правами админа (или может быть системы), якобы нужно в окне добаления скрипта в графе "Параметры сценария" указать какие-то параметры (какие именно пока не нашел, если кто знает - отпишитесь).
Рабочий вариант - gpedit.msc -> Конфигурация пользователя -> Конфигурация Windows -> Сценарии (вход/выход из системы) -> Выход из системы. Эта ГП запускает скрипт с достаточными привилегиями (не знаю какими - админ или система), проверил при выходе (перезагрузке) из админской учетки.
Как это работает при выходе из обычной юзерской учетки не проверял из-за отсутствия таковой.

Всего записей: 490 | Зарегистр. 24-02-2013 | Отправлено: 03:22 02-06-2018 | Исправлено: harrykkk, 03:32 02-06-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
harrykkk

Цитата:
Это не сработало, т.к. эта ГП запускает скрипт с обычными привилегиями

Тут дело не в привилегиях (в обоих случаях повышенные), скорее, уже нечего отключать на момент, когда скрипт завершения начал свою работу.
Перезагрузка

А при выходе из системы, оборудование работает, потому его можно отключить

Всего записей: 7219 | Зарегистр. 12-10-2001 | Отправлено: 07:13 02-06-2018
shadow_member



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
harrykkk
Цитата:
Выключение сетевых адаптеров батником при выключении машины можно сделать через групповые политики в "Сценариях (запуск/завершение)".  

Цитата:
Это не сработало, т.к. эта ГП запускает  

Цитата:
Рабочий вариант - gpedit.msc -> Конфигурация пользователя -> Конфигурация Windows -> Сценарии (вход/выход из системы) -> Выход из системы.
Ты меня, похоже, неправильно понял, т.к. эти Сценарии... и размещены только в двух местах, в Конфигурации компьютера и в Конфигурации пользователя. У меня работает из Конфигурации компьютера.

Всего записей: 15516 | Зарегистр. 18-07-2006 | Отправлено: 07:26 02-06-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Сам то я не баловался автоматизировать при перезагрузке отключение адаптера, потому
как UWF-фильтр включен и при следующем входе в систему адаптер всегда отключен.
Стало-быть, если скрипт отрабатывает в обоих случаях, то что-то не так в королевстве harrykkk )

Всего записей: 7219 | Зарегистр. 12-10-2001 | Отправлено: 07:35 02-06-2018
shadow_member



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Быстрый запуск. Если он включен, при перезагрузке адаптер не будет выключаться.

Всего записей: 15516 | Зарегистр. 18-07-2006 | Отправлено: 08:07 02-06-2018
harrykkk



Full Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Уточню.
ГП Сценарии (запуск/завершение) - ни разу не отключила сетевой адаптер. Испытывал при "Завершении работы", "Перезагрузке", "Выходе".
ГП Сценарии (вход/выход из системы) - во всех трех случаях отключила сеть.
Таймер 2 сек. Быстрый запуск включен, но на ситуацию скорее всего никак не влияет, т.к. быстрый он только при "Завершении работы". При "Перезагрузке" в любом случае компьютер перезагружается полностью, т.е. не быстро. А при "Выходе" всё всегда быстро, не зависимо от быстрого запуска.
В принципе второй способ работает, так что можно тему и закрыть.
Только остался нераскрытый вопрос о "Параметрах сценария".

Цитата:
Тут дело не в привилегиях (в обоих случаях повышенные)

Это не так. И подобные вопросы уже поднимались на других форумах, правда толкового ответа я не нашел. Якобы привилегии можно поднять "Параметрами сценария". Какими?
Может на забугорных форумах есть ответы? Только я в английском не силен.

Всего записей: 490 | Зарегистр. 24-02-2013 | Отправлено: 09:28 02-06-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
harrykkk

Цитата:
Это не так

Т.е. выложенные пикчи вас не убедили, что сценарий работает в обоих случая с повышенными правами?

Цитата:
"Параметрами сценария". Какими?

В батнике от westlife давно уже прикручено.

Всего записей: 7219 | Зарегистр. 12-10-2001 | Отправлено: 09:40 02-06-2018
harrykkk



Full Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS

Цитата:
Т.е. выложенные пикчи вас не убедили

Ваши пикчи у себя воспроизвести не смог, т.к. в моем диспетчере задач отсутствует колонка "С более высоким уровнем разрешений". Из контекста понятно, что у Вас W10 Ent, а у меня W8.1 Pro.

Цитата:
В батнике от westlife давно уже прикручено.

Опять же батник от westlife написан для W10 LTSB, повторюсь - у меня W8.1 Pro. В батнике более 8 тысяч строк непонятного мне кода, и я врядли там что-то найду.
Поэтому если вы знаете "Параметры сценария", с помощью которых можно поднять привилегии исполнения сценариев в ГП, то просто напишите их здесь. Если не знаете - ну нет так нет. Будем искать.

Всего записей: 490 | Зарегистр. 24-02-2013 | Отправлено: 10:23 02-06-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
harrykkk
Не помню какой в 8.1 диспетчер, но пускайте стороннее решение, скажем, Process Hacker.
Или запустите следующий батник сначала двойным щелчком, а потом от админа, убедитесь,
что выдаваемые фразы будут разные, после чего суйте его как сценарий завершения
и он вам все скажет при перезагрузке

Код:
 
@echo off
openfiles > NUL 2>&1
if NOT %ERRORLEVEL% EQU 0 goto NotAdmin
echo This command prompt is ELEVATED
goto End
:NotAdmin
echo This command prompt is NOT ELEVATED
:End
pause
 


Цитата:
то просто напишите их здесь.

А как быть с нарушением прав westlife, если я выложу его код?
Код
 
 
Добавлено:
Батник поправил, а то сначала все правильно сделал, а потом стер.
Стало-быть, то что красным добавьте, а то не увидите ничего.

Всего записей: 7219 | Зарегистр. 12-10-2001 | Отправлено: 11:41 02-06-2018 | Исправлено: KLASS, 12:29 02-06-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
в моем диспетчере задач отсутствует колонка "С более высоким уровнем разрешений".


ПКМ на столбцах и...

Всего записей: 7219 | Зарегистр. 12-10-2001 | Отправлено: 14:01 02-06-2018
Открыть новую тему     Написать ответ в эту тему

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows

Имя:
Пароль:
Сообщение

Для вставки имени, кликните на нем.

Опции сообщенияДобавить свою подпись
Подписаться на получение ответов по e-mail
Добавить тему в личные закладки
Разрешить смайлики?
Запретить коды


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.Board
© Ru.Board 2000-2018

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru