Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows

Модерирует : KLASS, IFkO

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69

Открыть новую тему     Написать ответ в эту тему

KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
  • Из описания темы видно, что речь пойдет о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии,
    вся "борьба" с которой сводится к отключению\перенастройке почти всех правил Microsoft.
    Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.
     
  • Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности.
    ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:
       
    Отключаем или удаляем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP)
    Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик)
    и Основы сетей - DNS (UDP - исходящий трафик), но оставив это правило DNS помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд. Потому для верности, создавайте правила DNS для каждой программы из белого списка (разрешить UDP исходящее соединение, удаленный порт 53), а правило Основы сетей - DNS (UDP - исходящий трафик) предпочтительно тоже отключить. Отключив правило, обязательно отключите службу DNS-клиент
    Все, Интернета - нет, как и нет любых других соединений (кроме DHCP), включая телеметрию. Чтобы убедиться в этом используйте Wireshark.
    После такой настройки, обновления автоматически устанавливаться не будут. Для систем ниже Windows 10 сначала обновите систему, а потом настраивайте правила брандмауэра. Последующие обновления устанавливайте ручками.
    Актуальный список обновлений для Windows 10 и рекомендации по обновлению Windows 7 SP1
    История кумулятивных обновлений для разных версий Windows 10
     
  • Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. По другому, будем создавать белый список приложений.
    Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.
     
  • Для того, чтобы быстро разобраться какой программе, что нужно открыть в брандмауэре, можно использовать приложение Process Hacker с надстройками.
    Сборка Process Hacker x86 x64 от Victor_VG или ее русский вариант от KLASS для Windows 10 версии не ниже 1607 Сборка 14393.
    Сборка Process Hacker x64 от ItsJustMe для Windows 10 версии не ниже 1809 Сборка 17763.107. Вопросы по работе Process Hacker (изучите там шапку).
    Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" (на Windows 7 не работает, используйте набор NetworkTrafficView_russian) и
    запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим к каким портам,
    удаленным адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения.
     
  • Как добавлять или изменять правила используя командную строку (команда netsh).
     
  • Контекстное меню в проводнике для файлов .EXE, при помощи которого можно добавлять правила в брандмауэр (Shift+ПКМ).
     
  • Не лишним будет добавление в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.
     
  • Импортируйте свои правила при каждом входе в систему через Планировщик, т.к. правила от M$ могут быть восстановлены при очередном обновлении
     
  • Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)
     
  • Также, для удобства создания правил, есть другой инструмент Windows Firewall Control.
    Это надстройка, которая работает в системном трее на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws,
    без необходимости переходить в определённые окна настроек брандмауэра.
     
  • Включить аудит Платформы фильтрации IP-пакетов
     
  • Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell
     
  • Проверка брандмауэра на наличие уязвимостей
     
  • Смежные темы:
    Настройка персональных файерволов (firewall rules)
    Бесконтрольность Windows 10
    Быстрая настройка Windows
     
  • Шапку и около-темные вопросы обсуждаем здесь

Всего записей: 7580 | Зарегистр. 12-10-2001 | Отправлено: 20:59 05-03-2017 | Исправлено: KLASS, 08:30 09-01-2019
harrykkk



Full Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS

Цитата:
ПКМ на столбцах и...

Да, так получилось. Спасибо. Видимо раньше промахнулся мышкой и вызывал контексное меню на вкладке "Подробности", а там ничего нет.
Запуск батника двойным щелчком как и ожидалось приводит к "This command prompt is NOT ELEVATED".


Цитата:
после чего суйте его как сценарий завершения и он вам все скажет при перезагрузке

После перезагрузки никаких видимых следов выполнения батника нет.

Всего записей: 504 | Зарегистр. 24-02-2013 | Отправлено: 17:37 02-06-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
harrykkk
О каких следах речь?
Он вам должен сказать при перезагрузке, что запущен с повышенными правами,
ожидая пока вы не жамкните эникей и на этом все.
 
Добавлено:
Вы еще раз посмотрите пост с батником, я там внес правку и отметил красным.

Всего записей: 7580 | Зарегистр. 12-10-2001 | Отправлено: 17:42 02-06-2018
harrykkk



Full Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Вашу правку я видел, исправил у себя.

Цитата:
ожидая пока вы не жамкните эникей и на этом все.

После перезагрузки просто чистый рабочий стол, открытого окна CMD нет, нечего жамкать.

Всего записей: 504 | Зарегистр. 24-02-2013 | Отправлено: 18:36 02-06-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
harrykkk
Не после перезагрузки, но при перезагрузке, должно появится окно комстроки, где и сказано,
что запущено оно с повышенными правами

Вы выложенный батник сунули через групповые политики в Сценариях => Завершение работы?
И перегружайтесь...

Всего записей: 7580 | Зарегистр. 12-10-2001 | Отправлено: 18:53 02-06-2018
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
комрады а для чего эти танцы, может не понимаю чего... если около железки, то кабель можно руками вытащить, а если ту железку надо удалённо включить/выключить, то адаптер должен быть включённым

Всего записей: 1634 | Зарегистр. 03-02-2005 | Отправлено: 19:14 02-06-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002
Видно каждый раз дергать никто не хочет...
А по сути, чел утверждает, что запущенный батник в Сценариях => Завершение работы
работает с пониженными правами... отсюда начали )

Всего записей: 7580 | Зарегистр. 12-10-2001 | Отправлено: 19:29 02-06-2018
shadow_member



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002
Цитата:
может не понимаю чего... если около железки, то кабель можно руками вытащить,
Не понимаешь. Кроме удобства стояния раком для выдергивания, надолго ли хватит твоего терпения? Ты забьешь на выдергивание. А смысл в том, чтобы машина загрузилась с выключенным адаптером, и находилась в этом положении, пока ты ей не скажешь- поехали! И оно-таки работает, и это очень удобно!  
А с какими правами- да фиг с ними, "лишь бы кошка, независимо от ее цвета, мышей ловила" (китайская народная мудрость, однако).

Всего записей: 16508 | Зарегистр. 18-07-2006 | Отправлено: 19:40 02-06-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
shadow_member

Цитата:
А с какими правами- да фиг с ними

Не так, наверное. harrykkk то согласен отключать через планировщик, но у него
не получается именно! (как он настаивает) из-за нехватки прав.
Пока не разжуем, дальше смысла двигаться нет...
У него не работает, у тебя и у меня работает.
Чел должен понять где косяк... это же форум технический. )

Всего записей: 7580 | Зарегистр. 12-10-2001 | Отправлено: 20:03 02-06-2018
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
shadow_member

Цитата:
пока ты ей не скажешь- поехали!

как я это ей скажу удалённо? или смысл в том что через таймаут он автоматом подрубит сетюху таском?
зы и как я её удалённо включу ежли сеть не проснётся ибо она выключена наглушняк

Всего записей: 1634 | Зарегистр. 03-02-2005 | Отправлено: 21:00 02-06-2018 | Исправлено: Us2002, 21:03 02-06-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002
Задачи у всех разные.
Коль удаленно, то какой смысл в отключении вообще...
Но ты сам спросил: А че эт вы тут делаете (С) )

Всего записей: 7580 | Зарегистр. 12-10-2001 | Отправлено: 21:10 02-06-2018
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
ну сидеть в нете (загружаться в рабочий профиль) и дёргать батниками сетевые интерфейсы имхо равнозначно что сидеть под админом, не?
 
Добавлено:

Цитата:
Но ты сам спросил

ну приблизительно понял, теперь пытаюсь это осознать глубже =)

Всего записей: 1634 | Зарегистр. 03-02-2005 | Отправлено: 21:14 02-06-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002
Все сидят под админом, как минимум в Китае и в России... а это уже много )

Всего записей: 7580 | Зарегистр. 12-10-2001 | Отправлено: 21:17 02-06-2018
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
ну тогда наверно разрешить в гп админам юзать батники и таски надо

Всего записей: 1634 | Зарегистр. 03-02-2005 | Отправлено: 21:25 02-06-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002
Так и юзаем, просто чел немного не понял и пытался объяснить, как он это видит... не более.
А по факту, в офисе дружно сидят под однояйцевым, менеджеры, бухгалтера... иначе выключу.
Им то зачем думать об этом... им вот точно по барабану. Кто на что учился, не более )

Всего записей: 7580 | Зарегистр. 12-10-2001 | Отправлено: 21:30 02-06-2018
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
https://technet.microsoft.com/ru-ru/library/mt629216(v=vs.85).aspx

Всего записей: 1634 | Зарегистр. 03-02-2005 | Отправлено: 21:38 02-06-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
К чему ты?

Всего записей: 7580 | Зарегистр. 12-10-2001 | Отправлено: 21:39 02-06-2018
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS чтоб harrykkk проверил что у него в этих политиках на вход и на отказ значится
 

Всего записей: 1634 | Зарегистр. 03-02-2005 | Отправлено: 22:20 02-06-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002
Не уверен, что проблема тех характера... чел запутался, не более.

Всего записей: 7580 | Зарегистр. 12-10-2001 | Отправлено: 10:41 03-06-2018
harrykkk



Full Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Установил виртуальную W10 ltsb от LeX с батником westlife. Потестил на ней работу ГП. Все работает так как говорил shadow_member

Цитата:
Выключение сетевых адаптеров батником при выключении машины можно сделать через групповые политики в "Сценариях (запуск/завершение)".

Путем каких-то танцев с бубном частично "уговорил" свою восьмерку работать также, т.е. адаптер выключается только при Перезагрузке. При Завершении работы не выключается, возможно из-за

Цитата:
Быстрый запуск. Если он включен, при перезагрузке адаптер не будет выключаться.

Быстрый запуск выключать не хотелось бы.
Есть какой-нибудь способ помирить Быстрый запуск и ГП?

Всего записей: 504 | Зарегистр. 24-02-2013 | Отправлено: 06:18 05-06-2018
shadow_member



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
harrykkk

Цитата:
Есть какой-нибудь способ помирить Быстрый запуск и ГП?
Нет.  
Попробуй батником, я уже не помню, каков был результат:
Цитата:
@echo off
chcp 65001 >null
cd /d "%~dp0"
 
:: Выключить все сетевые адаптеры
:: Адаптеры TEREDO и ISATAP не будут затронуты
devcon disable =net *VEN_*
Рядом с батником должен лежать devcon.exe той же битности, что и ОС, батник запускать от админа.

Всего записей: 16508 | Зарегистр. 18-07-2006 | Отправлено: 09:16 05-06-2018
Открыть новую тему     Написать ответ в эту тему

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows

Имя:
Пароль:
Сообщение

Для вставки имени, кликните на нем.

Опции сообщенияДобавить свою подпись
Подписаться на получение ответов по e-mail
Добавить тему в личные закладки
Разрешить смайлики?
Запретить коды


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.Board
© Ru.Board 2000-2018

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru

Рейтинг.ru