Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows

Модерирует : KLASS, IFkO

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70

Открыть новую тему     Написать ответ в эту тему

KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
  • Из описания темы видно, что речь пойдет о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии,
    вся "борьба" с которой сводится к отключению\перенастройке почти всех правил Microsoft.
    Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.
     
  • Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности.
    ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:
       
    Отключаем или удаляем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP)
    Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик)
    и Основы сетей - DNS (UDP - исходящий трафик), но оставив это правило DNS помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд. Потому для верности, создавайте правила DNS для каждой программы из белого списка (разрешить UDP исходящее соединение, удаленный порт 53), а правило Основы сетей - DNS (UDP - исходящий трафик) предпочтительно тоже отключить. Отключив правило, обязательно отключите службу DNS-клиент
    Все, Интернета - нет, как и нет любых других соединений (кроме DHCP), включая телеметрию. Чтобы убедиться в этом используйте Wireshark.
    После такой настройки, обновления автоматически устанавливаться не будут. Для систем ниже Windows 10 сначала обновите систему, а потом настраивайте правила брандмауэра. Последующие обновления устанавливайте ручками.
    Актуальный список обновлений для Windows 10 и рекомендации по обновлению Windows 7 SP1
    История кумулятивных обновлений для разных версий Windows 10
     
  • Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. По другому, будем создавать белый список приложений.
    Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.
     
  • Для того, чтобы быстро разобраться какой программе, что нужно открыть в брандмауэре, можно использовать приложение Process Hacker с надстройками.
    Сборка Process Hacker x86 x64 от Victor_VG или ее русский вариант от KLASS для Windows 10 версии не ниже 1607 Сборка 14393.
    Сборка Process Hacker x64 от ItsJustMe для Windows 10 версии не ниже 1809 Сборка 17763.107. Вопросы по работе Process Hacker (изучите там шапку).
    Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" (на Windows 7 не работает, используйте набор NetworkTrafficView_russian) и
    запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим к каким портам,
    удаленным адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения.
     
  • Как добавлять или изменять правила используя командную строку (команда netsh).
     
  • Контекстное меню в проводнике для файлов .EXE, при помощи которого можно добавлять правила в брандмауэр (Shift+ПКМ).
     
  • Не лишним будет добавление в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.
     
  • Импортируйте свои правила при каждом входе в систему через Планировщик, т.к. правила от M$ могут быть восстановлены при очередном обновлении
     
  • Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)
     
  • Также, для удобства создания правил, есть другой инструмент Windows Firewall Control.
    Это надстройка, которая работает в системном трее на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws,
    без необходимости переходить в определённые окна настроек брандмауэра.
     
  • Включить аудит Платформы фильтрации IP-пакетов
     
  • Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell
     
  • Проверка брандмауэра на наличие уязвимостей
     
  • Смежные темы:
    Настройка персональных файерволов (firewall rules)
    Бесконтрольность Windows 10
    Быстрая настройка Windows
     
  • Шапку и около-темные вопросы обсуждаем здесь

Всего записей: 7582 | Зарегистр. 12-10-2001 | Отправлено: 20:59 05-03-2017 | Исправлено: KLASS, 08:30 09-01-2019
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
harrykkk

Цитата:
Есть какой-нибудь способ помирить Быстрый запуск и ГП?

Какой смысл выключать сетевой адаптер, если вы используете быстрый запуск?
При выключении компа, завершается сеанс пользователя, а системный сеанс сбрасывается в гибернацию,
а при включении компа эта инфа считывается в память и вы получаете экран приветствия с уже загруженной системой.
Как таковой, загрузки компа по новой просто не было и вы вернулись туда откуда ушли при выключении.
 
Добавлено:

Цитата:
т.е. адаптер выключается только при Перезагрузке. При Завершении работы не выключается

Теперь понятно почему так происходит.
При перезагрузке быстрый запуск не_задействован\не_работает, а при завершении
ГП не работает, вы ведь не выключили комп полноценно, когда должна работать ГП,
но сбросили системный сеанс в гибернацию... до ГП еще дело не дошло в вашем случае
и права тут точно не причем.

Всего записей: 7582 | Зарегистр. 12-10-2001 | Отправлено: 14:13 05-06-2018 | Исправлено: KLASS, 15:33 05-06-2018
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
harrykkk

Цитата:
Есть какой-нибудь способ помирить Быстрый запуск и ГП?

выключить адаптер и потом отправить комп в сон, ну тоесть иметь некоторые постоянно выключенные девайсы при остальных постоянно включенных, ну и запретить паверманагеру их дёргать от слова совсем

Всего записей: 1637 | Зарегистр. 03-02-2005 | Отправлено: 20:07 05-06-2018 | Исправлено: Us2002, 20:11 05-06-2018
harrykkk



Full Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
2All

Цитата:
Есть какой-нибудь способ помирить Быстрый запуск и ГП?

C этим вопросом разобрался. Всем спасибо за участие.
Us2002

Цитата:
https://technet.microsoft.com/ru-ru/library/mt629216(v=vs.85).aspx

В статье по ссылке выше из соображений безопасности рекомендуется

Цитата:
Назначайте право Отказать во входе в качестве пакетного задания локальной учетной записи "Гость".

В W10 ltsb с батником westlife = "Не определено"
У меня в W8.1 Pro = HomeGroupUser$
На чем лучше остановиться?

Всего записей: 504 | Зарегистр. 24-02-2013 | Отправлено: 20:15 05-06-2018
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
harrykkk
да как пожелаешь,
Цитата:
HomeGroupUser$
+
Цитата:
"Гость"
=) имхо веселее, да и вроде хомгруппы производитель уже хоронит

Всего записей: 1637 | Зарегистр. 03-02-2005 | Отправлено: 20:20 05-06-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Добавил контекстное меню в шапку для файлов *.EXE

Обращаю внимание, что сторонний файловый менеджер, например XYplorer, запущенный
под User (есть у него такая фишка, даже если вы вошли под админом в систему),
меню отобразит и даже будет запрос UAC, но правило в брандмауэре создано не будет.
Из проводника правило будет создано после запроса UAC. Имя правила - путь к файлу,
останется поправить правило на свое усмотрение.

Всего записей: 7582 | Зарегистр. 12-10-2001 | Отправлено: 23:31 08-06-2018 | Исправлено: KLASS, 18:11 27-06-2018
harrykkk



Full Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
LevT

Цитата:
Начиная с 8.1 можно дёргать такой скрипт:

А как вывести все правила [и настройки] фаервола в виде командлетов PowerShell?

Всего записей: 504 | Зарегистр. 24-02-2013 | Отправлено: 14:10 11-06-2018
shadow_member



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Может, FireWallRulesParser от Ratiborus упростит задачу.

Всего записей: 16516 | Зарегистр. 18-07-2006 | Отправлено: 09:50 12-06-2018
harrykkk



Full Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
FireWallRulesParser

На странице Ratiborus не нашел. В этой теме по ссыдке ничего нет.
Та версия, что есть у меня, наверное очень древняя:
1. Выдает всего 100 правил против 307 имеющихся (видимо видит только включенные правила).
2. Выдача в формате NetSh (а хотелось в PowerShell).
3. Все правила, кроме двух последних имеют какой-то сокращенный формат.

Код:
Netsh.exe Advfirewall Firewall add rule name="@FirewallAPI.dll,-36852" dir=in action=allow program="%SystemRoot%\system32\dashost.exe" description="@FirewallAPI.dll,-36853" profile=public

Два последних выглядят лучше

Код:
Netsh.exe Advfirewall Firewall add rule name="Основы сетей - протокол DHCP (DHCP - исходящий трафик)" dir=out action=allow protocol=17 program="%SystemRoot%\system32\svchost.exe" service=dhcp description="Разрешает сообщения DHCP для автонастройки с отслеживанием состояния." localport=68 remoteport=67

но все равно не хватает group, localip, remoteip...

Всего записей: 504 | Зарегистр. 24-02-2013 | Отправлено: 14:07 12-06-2018
firstOS

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Здравствуйте
 
I need the basic system configuration rules in the firewall
I make this because I first use Windws firewall before used EIS but now no have.
 
netsh advfirewall firewall delete rule name=all
netsh advfirewall set allprofiles firewallpolicy blockinbound,blockoutbound
 
Before just I backup DHCP and DNS rules original  
but for next no know what is best settings I use Firefox, Chrome, Skype, Visual Studio... and other apps.

Всего записей: 33 | Зарегистр. 29-03-2016 | Отправлено: 20:22 25-06-2018 | Исправлено: firstOS, 20:23 25-06-2018
Tridentifer



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Может, кто подскажет.
Win10 1803.
Известно, что группу правила не указать в GUI.
Можно ли с помощью netsh указать группу при создании правила или изменить группу в существующем правиле (как в WFC)?

Всего записей: 2080 | Зарегистр. 23-10-2009 | Отправлено: 19:59 27-06-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Можно ли с помощью netsh указать группу

В любое правило добавлять group=<строка>
Подробнее:
netsh advfirewall firewall set rule /?
Вообще группы создавать "не выгодно" для своих правил т.к. правила, созданные пользователем,
всегда будут вверху списка при запуске оснастки брандмауэра, если не входят в группу.
Просто удобно, если отключать (не удалять) практически все от Мелких.

Всего записей: 7582 | Зарегистр. 12-10-2001 | Отправлено: 20:31 27-06-2018
harrykkk



Full Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
При создании наверное так

Код:
netsh advfirewall firewall add rule group="Удаленное управление службой" name="Удаленное управление службой (RPC-EPMAP)" profile=Private, Public enable=no service=RPCSS program="%SystemRoot%\system32\svchost.exe" action=Allow dir=In protocol=TCP localport=RPCEPMap remoteport=Any localip=Any remoteip=LocalSubnet interfacetype=Any edge=no description="Правило входящего трафика для службы RPCSS, разрешающее трафик RPC/TCP для локального диспетчера служб."

Всего записей: 504 | Зарегистр. 24-02-2013 | Отправлено: 20:33 27-06-2018
Tridentifer



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS

Цитата:
netsh advfirewall firewall set rule /?

Я читал справку, но при попытке выполнить команды без NEW появляется ответ, что:
'Для команд set должно быть указано ключевое слово new, которое не может быть последним аргументом команды.'
 
При попытке выполнить команды с NEW, пример:
 
NETSH ADVFIREWALL FIREWALL ADD RULE NAME="Block Test.exe (Out)" DIR=OUT ACTION=BLOCK PROGRAM="C:\Test.exe" PROFILE=ANY ENABLE=YES
NETSH ADVFIREWALL FIREWALL SET RULE NAME="Block Test.exe (Out)" NEW GROUP="Blocked"
 
открывается справка вместо ответа.
С GROUP так без конца по кругу - не одно, так другое.

Цитата:
Просто удобно, если отключать (не удалять) практически все от Мелких.

У меня есть небольшая привычка к группам - всё же удобно, когда видишь созданное самим собой.
 
harrykkk

Цитата:
При создании наверное так

Появляется ответ, что 'GROUP не является правильным аргументом для этой команды.'
 
В-общем, какая-то шляпа получается с этим единственным параметром: параметр есть, справка есть - а управлять им никак.
Читал, что на англоязычных ресурсах народ тоже интересовался этим вопросом (именно с помощью netsh, не PS), но решения так и не нашли.

Всего записей: 2080 | Зарегистр. 23-10-2009 | Отправлено: 21:11 27-06-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Tridentifer
Правило входящее в группу надо сначала создать, т.е. команда
netsh advfirewall firewall set rule

Цитата:
Устанавливает новое значение параметра для указанного правила.

изменять видимо можно только то значение, которое УЖЕ существует.
Команда

Цитата:
NETSH ADVFIREWALL FIREWALL SET RULE NAME="Block Test.exe (Out)" NEW GROUP="Blocked"  

не изменяет созданное ранее значение, этого значения просто нет.
Но команда работает, например:
NETSH ADVFIREWALL FIREWALL SET RULE NAME="Block Test.exe (Out)" NEW ENABLE=NO
 
Добавлено:
https://docs.microsoft.com/ru-ru/previous-versions/windows/it-pro/windows-server-2012-R2-and-2012/hh831755(v=ws.11)

Цитата:
Adding rules to a custom rule group is not possible in Netsh.

Стало-быть, для создания правила входящего в группу, используем пошик, при этом правила будут предопределенными.
Например:
New-NetFirewallRule -DisplayName "MyRule" -Direction Outbound -Program %SystemRoot%\System32\test.exe -RemoteAddress LocalSubnet -Action Allow –Group "MyGroup"

Всего записей: 7582 | Зарегистр. 12-10-2001 | Отправлено: 21:34 27-06-2018 | Исправлено: KLASS, 23:14 27-06-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Tridentifer
Хех, сам забыл, а в шапке есть.
Аргумент group используется лишь для изменения некоего значения сразу во всей группе
и не может находиться после команды NEW
Включить "Сетевое обнаружение":  
netsh advfirewall firewall set rule group="Обнаружение сети" new enable=Yes
Включить "Общий доступ к файлам и принтерам":  
netsh advfirewall firewall set rule group="Общий доступ к файлам и принтерам" new enable=Yes
 
Добавлено:
Заодно шапку чуть поправил для ясности, теперь ссылка звучит так:
Как добавлять или изменять правила используя командную строку (команда netsh)

Всего записей: 7582 | Зарегистр. 12-10-2001 | Отправлено: 01:02 28-06-2018
Tridentifer



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS

Цитата:
https://docs.microsoft.com/ru-ru/previous-versions/windows/it-pro/windows-server-2012-R2-and-2012/hh831755(v=ws.11)

Есть ссылка 'свежее' по дате:
 
https://docs.microsoft.com/ru-ru/windows/security/identity-protection/windows-firewall/windows-firewall-with-advanced-security-administration-with-windows-powershell#deploy-basic-firewall-rules

Цитата:
Стало-быть, для создания правила входящего в группу, используем пошик, при этом правила будут предопределенными.

Предопределённые правила - неинтересно
Я поэтому и спрашивал про netsh - а если уж так, то легче для всего сразу использовать PS или забыть про группы, используя netsh.

Всего записей: 2080 | Зарегистр. 23-10-2009 | Отправлено: 12:23 28-06-2018 | Исправлено: Tridentifer, 12:23 28-06-2018
firstOS

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Это настроено так, как должно или должно что-то измениться?
 
#

Всего записей: 33 | Зарегистр. 29-03-2016 | Отправлено: 14:54 29-06-2018
Alex_OS

Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Верны ли эти 2 пункта?
 
1. По-умолчанию в Windows Firewall все входящие блокируются, кроме явно разрешённых, и все исходящие разрешены, кроме явно запрещённых.
 
2. Исходя из первого пункта если моя пекарня подключена к Интернету через pfSense, то Windows Firewall не нужен в принципе и его можно отключить (при условии, что у меня в нём нет явно запрещённых исходящих). И это никак не скажется на безопасности пекарни.

Всего записей: 207 | Зарегистр. 01-10-2017 | Отправлено: 17:57 11-07-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Alex_OS
1. Да
2. Запрещать все исходящие на pfSense, кроме явно разрешенных, т.е. причем тут вообще брандмауэр Выни, он как бы и не нужен, а тема про него.

Всего записей: 7582 | Зарегистр. 12-10-2001 | Отправлено: 20:01 11-07-2018 | Исправлено: KLASS, 20:31 11-07-2018
oinvhi



Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Сейчас дома через роутер хожу, все те же правила UDP для каждого приложения (для выхода в свет),  
в которых строго IP DNS-провайдера и IP роутера. Полет нормальный. У кого то может не работать такая схема,  
возможно, зависит от провайдера. Тут действительно надо каждому самому разбираться и нет общей схемы,  
чтобы добавить в шапку.  
P.S. Правила DNS от мелких удалены.

 
у меня днс работает, лишь только когда remoteip=основной шлюз. если напрямую вводить туда адреса днс провайдера, как рекомендуется здесь - не работает.
 
w7 64

Всего записей: 14 | Зарегистр. 06-09-2017 | Отправлено: 10:31 10-08-2018 | Исправлено: oinvhi, 10:33 10-08-2018
Открыть новую тему     Написать ответ в эту тему

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows

Имя:
Пароль:
Сообщение

Для вставки имени, кликните на нем.

Опции сообщенияДобавить свою подпись
Подписаться на получение ответов по e-mail
Добавить тему в личные закладки
Разрешить смайлики?
Запретить коды


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.Board
© Ru.Board 2000-2018

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru

Рейтинг.ru