Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows

Модерирует : KLASS, IFkO

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56

Открыть новую тему     Написать ответ в эту тему

KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
  • Из описания темы видно, что речь пойдет о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии,
    вся "борьба" с которой сводится к отключению\перенастройке почти всех правил Microsoft.
    Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.
     
  • Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности.
    ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:
       
    Отключаем или удаляем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP)
    Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик)
    и Основы сетей - DNS (UDP - исходящий трафик), но оставив это правило DNS помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд.
    Потому для верности, создавайте правила DNS для каждой программы из белого списка, а правило Основы сетей - DNS (UDP - исходящий трафик) предпочтительно тоже отключить.
    Отключив правило, обязательно отключите службу DNS-клиент
    Все, Интернета - нет, как и нет любых других соединений (кроме DHCP), включая телеметрию. Чтобы убедиться в этом используйте Wireshark.
    После такой настройки, обновления автоматически устанавливаться не будут. Для систем ниже Windows 10 сначала обновите систему, а потом настраивайте правила брандмауэра.
    Последующие обновления устанавливайте ручками.
    Актуальный список обновлений для Windows 10 и рекомендации по обновлению Windows 7 SP1
    История кумулятивных обновлений для разных версий Windows 10
     
  • Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. По другому, будем создавать белый список приложений.
    Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.
     
  • Для того, чтобы быстро разобраться какой программе, что нужно открыть в брандмауэре, можно использовать приложение Process Hacker с надстройками.
    Текущая английская сборка от Victor_VG или локализованная сборка от KLASS для Windows 10 версии не ниже 1607 Build 14393.
    Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" (на Windows 7 не работает, используйте набор NetworkTrafficView_russian) и
    запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим к каким портам,
    удаленным адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения.
     
  • Как добавлять или изменять правила используя командную строку (команда netsh).
     
  • Контекстное меню в проводнике для файлов .EXE, при помощи которого можно добавлять правила в брандмауэр (Shift+ПКМ).
     
  • Не лишним будет добавление в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.
     
  • Импортируйте свои правила при каждом входе в систему через Планировщик, т.к. правила от M$ могут быть восстановлены при очередном обновлении
     
  • Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)
     
  • Также, для удобства создания правил, есть другой инструмент Windows Firewall Control.
    Это надстройка, которая работает в системном трее на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws,
    без необходимости переходить в определённые окна настроек брандмауэра.
     
  • Включить аудит Платформы фильтрации IP-пакетов
     
  • Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell
     
  • Проверка брандмауэра на наличие уязвимостей
     
  • Смежные темы:
    Настройка персональных файерволов (firewall rules)
    Бесконтрольность Windows 10
    Быстрая настройка Windows
     
  • Шапку и около-темные вопросы обсуждаем здесь

Всего записей: 7219 | Зарегистр. 12-10-2001 | Отправлено: 20:59 05-03-2017 | Исправлено: KLASS, 13:53 28-06-2018
harrykkk



Full Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS

Цитата:
ПКМ на столбцах и...

Да, так получилось. Спасибо. Видимо раньше промахнулся мышкой и вызывал контексное меню на вкладке "Подробности", а там ничего нет.
Запуск батника двойным щелчком как и ожидалось приводит к "This command prompt is NOT ELEVATED".


Цитата:
после чего суйте его как сценарий завершения и он вам все скажет при перезагрузке

После перезагрузки никаких видимых следов выполнения батника нет.

Всего записей: 489 | Зарегистр. 24-02-2013 | Отправлено: 17:37 02-06-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
harrykkk
О каких следах речь?
Он вам должен сказать при перезагрузке, что запущен с повышенными правами,
ожидая пока вы не жамкните эникей и на этом все.
 
Добавлено:
Вы еще раз посмотрите пост с батником, я там внес правку и отметил красным.

Всего записей: 7219 | Зарегистр. 12-10-2001 | Отправлено: 17:42 02-06-2018
harrykkk



Full Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Вашу правку я видел, исправил у себя.

Цитата:
ожидая пока вы не жамкните эникей и на этом все.

После перезагрузки просто чистый рабочий стол, открытого окна CMD нет, нечего жамкать.

Всего записей: 489 | Зарегистр. 24-02-2013 | Отправлено: 18:36 02-06-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
harrykkk
Не после перезагрузки, но при перезагрузке, должно появится окно комстроки, где и сказано,
что запущено оно с повышенными правами

Вы выложенный батник сунули через групповые политики в Сценариях => Завершение работы?
И перегружайтесь...

Всего записей: 7219 | Зарегистр. 12-10-2001 | Отправлено: 18:53 02-06-2018
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
комрады а для чего эти танцы, может не понимаю чего... если около железки, то кабель можно руками вытащить, а если ту железку надо удалённо включить/выключить, то адаптер должен быть включённым

Всего записей: 1332 | Зарегистр. 03-02-2005 | Отправлено: 19:14 02-06-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002
Видно каждый раз дергать никто не хочет...
А по сути, чел утверждает, что запущенный батник в Сценариях => Завершение работы
работает с пониженными правами... отсюда начали )

Всего записей: 7219 | Зарегистр. 12-10-2001 | Отправлено: 19:29 02-06-2018
shadow_member



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002
Цитата:
может не понимаю чего... если около железки, то кабель можно руками вытащить,
Не понимаешь. Кроме удобства стояния раком для выдергивания, надолго ли хватит твоего терпения? Ты забьешь на выдергивание. А смысл в том, чтобы машина загрузилась с выключенным адаптером, и находилась в этом положении, пока ты ей не скажешь- поехали! И оно-таки работает, и это очень удобно!  
А с какими правами- да фиг с ними, "лишь бы кошка, независимо от ее цвета, мышей ловила" (китайская народная мудрость, однако).

Всего записей: 15512 | Зарегистр. 18-07-2006 | Отправлено: 19:40 02-06-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
shadow_member

Цитата:
А с какими правами- да фиг с ними

Не так, наверное. harrykkk то согласен отключать через планировщик, но у него
не получается именно! (как он настаивает) из-за нехватки прав.
Пока не разжуем, дальше смысла двигаться нет...
У него не работает, у тебя и у меня работает.
Чел должен понять где косяк... это же форум технический. )

Всего записей: 7219 | Зарегистр. 12-10-2001 | Отправлено: 20:03 02-06-2018
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
shadow_member

Цитата:
пока ты ей не скажешь- поехали!

как я это ей скажу удалённо? или смысл в том что через таймаут он автоматом подрубит сетюху таском?
зы и как я её удалённо включу ежли сеть не проснётся ибо она выключена наглушняк

Всего записей: 1332 | Зарегистр. 03-02-2005 | Отправлено: 21:00 02-06-2018 | Исправлено: Us2002, 21:03 02-06-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002
Задачи у всех разные.
Коль удаленно, то какой смысл в отключении вообще...
Но ты сам спросил: А че эт вы тут делаете (С) )

Всего записей: 7219 | Зарегистр. 12-10-2001 | Отправлено: 21:10 02-06-2018
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
ну сидеть в нете (загружаться в рабочий профиль) и дёргать батниками сетевые интерфейсы имхо равнозначно что сидеть под админом, не?
 
Добавлено:

Цитата:
Но ты сам спросил

ну приблизительно понял, теперь пытаюсь это осознать глубже =)

Всего записей: 1332 | Зарегистр. 03-02-2005 | Отправлено: 21:14 02-06-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002
Все сидят под админом, как минимум в Китае и в России... а это уже много )

Всего записей: 7219 | Зарегистр. 12-10-2001 | Отправлено: 21:17 02-06-2018
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
ну тогда наверно разрешить в гп админам юзать батники и таски надо

Всего записей: 1332 | Зарегистр. 03-02-2005 | Отправлено: 21:25 02-06-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002
Так и юзаем, просто чел немного не понял и пытался объяснить, как он это видит... не более.
А по факту, в офисе дружно сидят под однояйцевым, менеджеры, бухгалтера... иначе выключу.
Им то зачем думать об этом... им вот точно по барабану. Кто на что учился, не более )

Всего записей: 7219 | Зарегистр. 12-10-2001 | Отправлено: 21:30 02-06-2018
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
https://technet.microsoft.com/ru-ru/library/mt629216(v=vs.85).aspx

Всего записей: 1332 | Зарегистр. 03-02-2005 | Отправлено: 21:38 02-06-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
К чему ты?

Всего записей: 7219 | Зарегистр. 12-10-2001 | Отправлено: 21:39 02-06-2018
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS чтоб harrykkk проверил что у него в этих политиках на вход и на отказ значится
 

Всего записей: 1332 | Зарегистр. 03-02-2005 | Отправлено: 22:20 02-06-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002
Не уверен, что проблема тех характера... чел запутался, не более.

Всего записей: 7219 | Зарегистр. 12-10-2001 | Отправлено: 10:41 03-06-2018
harrykkk



Full Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Установил виртуальную W10 ltsb от LeX с батником westlife. Потестил на ней работу ГП. Все работает так как говорил shadow_member

Цитата:
Выключение сетевых адаптеров батником при выключении машины можно сделать через групповые политики в "Сценариях (запуск/завершение)".

Путем каких-то танцев с бубном частично "уговорил" свою восьмерку работать также, т.е. адаптер выключается только при Перезагрузке. При Завершении работы не выключается, возможно из-за

Цитата:
Быстрый запуск. Если он включен, при перезагрузке адаптер не будет выключаться.

Быстрый запуск выключать не хотелось бы.
Есть какой-нибудь способ помирить Быстрый запуск и ГП?

Всего записей: 489 | Зарегистр. 24-02-2013 | Отправлено: 06:18 05-06-2018
shadow_member



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
harrykkk

Цитата:
Есть какой-нибудь способ помирить Быстрый запуск и ГП?
Нет.  
Попробуй батником, я уже не помню, каков был результат:
Цитата:
@echo off
chcp 65001 >null
cd /d "%~dp0"
 
:: Выключить все сетевые адаптеры
:: Адаптеры TEREDO и ISATAP не будут затронуты
devcon disable =net *VEN_*
Рядом с батником должен лежать devcon.exe той же битности, что и ОС, батник запускать от админа.

Всего записей: 15512 | Зарегистр. 18-07-2006 | Отправлено: 09:16 05-06-2018
Открыть новую тему     Написать ответ в эту тему

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows

Имя:
Пароль:
Сообщение

Для вставки имени, кликните на нем.

Опции сообщенияДобавить свою подпись
Подписаться на получение ответов по e-mail
Добавить тему в личные закладки
Разрешить смайлики?
Запретить коды


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.Board
© Ru.Board 2000-2018

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru