Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows

Модерирует : KLASS, IFkO

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107

Открыть новую тему     Написать ответ в эту тему

KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
  • Как видно из описания темы, речь пойдёт о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии, вся "борьба" с которой сводится к отключению/перенастройке почти всех правил Microsoft.
    Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.
     
  • Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности.
    ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:
       
    Отключаем или удаляем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP)
    Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик)
    и Основы сетей - DNS (UDP - исходящий трафик).


    НЕ ОБЯЗАТЕЛЬНО (на слив телеметрии не влияет, сначала осознайте, для чего вам это нужно):
    Оставив правило DNS, помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд.
    Если таки решили это правило отключить и осознали, зачем вам это надо, обязательно отключите службу DNS-клиент.


    Всё, Интернета нет, как и нет любых других соединений (кроме DHCP и DNS), включая телеметрию. Чтобы убедиться в этом, используйте Wireshark.
    После такой настройки обновления автоматически устанавливаться не будут. Для систем ниже Windows 10 сначала обновите систему, а потом настраивайте правила брандмауэра. Последующие обновления устанавливайте ручками.
    Актуальный список обновлений для Windows 10 см. здесь, рекомендации по обновлению Windows 7 SP1 см. здесь.
    История кумулятивных обновлений для разных версий Windows 10 доступна здесь.
     
  • Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. Иначе говоря, будем создавать "белый" список приложений.
    Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.
     
  • Для того чтобы быстро разобраться, какой программе что нужно открыть в брандмауэре, можно использовать приложение Process Hacker.
    Сборка Process Hacker x86 x64 от Victor_VG или ее русский вариант от KLASS для Windows 10.
    Вопросы по работе Process Hacker (изучите там шапку).
    Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" и запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим, к каким портам, удалённым адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения.
    Для Windows 7 можно воспользоваться набором NetworkTrafficView_russian.
    Также, в любой системе, для отслеживания можно использовать Process Monitor от Марка Руссиновича (в той же теме все вопросы по настройке программы).
     
  • Как добавлять или изменять правила, используя командную строку (команда netsh).
     
  • Контекстное меню в проводнике для файлов .EXE, с помощью которого можно добавлять правила в брандмауэр (Shift+ПКМ).
     
  • Не лишним будет добавить в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.
     
  • Импортируйте свои правила при каждом входе в систему через Планировщик, так как правила от M$ могут быть восстановлены при очередном обновлении.
     
  • Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)
     
  • Также, для удобства создания правил, есть другой инструмент Windows Firewall Control.
    Это надстройка, которая работает в области уведомлений на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws, без необходимости переходить в определённые окна настроек брандмауэра.
     
  • Включить аудит Платформы фильтрации IP-пакетов
     
  • Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell или Netsh
     
  • Проверка брандмауэра на наличие уязвимостей
     
  • Как запретить или разрешить изменять правила брандмауэра. Утилита SubInACL от Microsoft. Нюансы: 1, 2. На сегодня утилита не поддерживается и была убрана с сайта разработчика.
    Ищите в других местах:
    subinacl.exe
    Size: 290 304 Bytes
    CRC32: 90B58A75
    MD5: 53cdbb093b0aee9fd6cf1cbd25a95077
    SHA1: 3b90ecc7b40c9c74fd645e9e24ab1d6d8aee6c2d
    SHA256: 01a2e49f9eed2367545966a0dc0f1d466ff32bd0f2844864ce356b518c49085c
    SHA512: 7335474d6a4b131576f62726c14148acf666e9a2ce54128b23fe04e78d366aa5bdf428fe68f28a42c2b08598d46cada447a4e67d530529b3e10f4282513a425f
     
  • Смежные темы:
    Настройка персональных файерволов (firewall rules)
    Бесконтрольность Windows 10
    Быстрая настройка Windows
     
  • Шапку и около-темные вопросы обсуждаем здесь

Всего записей: 9735 | Зарегистр. 12-10-2001 | Отправлено: 20:59 05-03-2017 | Исправлено: KLASS, 18:23 25-09-2021
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
CruSanodeR
Определись сам, нужно тебе это или как... за обновами видать ходят
 
Добавлено:
Хотя, зачем обновам вход к тебе... услышал?

Всего записей: 9735 | Зарегистр. 12-10-2001 | Отправлено: 13:57 02-04-2017 | Исправлено: KLASS, 13:19 24-01-2020
CruSanodeR



Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS
именно так, не за чем им ходить за обновами)
Исходящие закрыты, но они создали входящие правила. Как они пойдут-то за обновами, если нет выхода у них?

Всего записей: 204 | Зарегистр. 30-09-2015 | Отправлено: 14:28 02-04-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
CruSanodeR
Так удали вабче или будешь дальше думать, ЧТО с этим делать?

Всего записей: 9735 | Зарегистр. 12-10-2001 | Отправлено: 16:58 02-04-2017
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
https://npo-echelon.ru/production/65/4291
https://npo-echelon.ru/production/65/11246
https://npo-echelon.ru/production/65/4186

Всего записей: 1737 | Зарегистр. 03-02-2005 | Отправлено: 17:44 02-04-2017 | Исправлено: Us2002, 17:55 02-04-2017
LevT



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002
Даёшь всем участникам этой темы по "эшелону"  
Сразу две штуки!!

Всего записей: 14888 | Зарегистр. 14-10-2001 | Отправлено: 17:52 02-04-2017 | Исправлено: LevT, 17:53 02-04-2017
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
LevT
от жешь не успел дать ссыль а ты уже 2 штука в руки натуральных запросил =)

Всего записей: 1737 | Зарегистр. 03-02-2005 | Отправлено: 17:57 02-04-2017
CruSanodeR



Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002
вооооооо, эшелон то, что надо.  
СКАНЕР-ВС нормальная вещь, только пока ключ для него не нашел.

Всего записей: 204 | Зарегистр. 30-09-2015 | Отправлено: 18:00 02-04-2017
DimonKP



Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
В некоторых случаях (virtualbox) софт при обновлении заново добавляет свои правила в firewall.
Есть ли от этого "спасение" штатными средствами?
P.S.: ручные обновления от админа, вот оно и добавляет.
P.P.S.: BiniSoft Windows Firewall Control имеет следующую фичу:
"√ Disable the ability of other programs to add Windows Firewall rules."

Всего записей: 98 | Зарегистр. 12-11-2009 | Отправлено: 08:23 03-04-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
DimonKP
Импорт заведомо экспортированных своих правил при загрузке_компа\входе_в_систему.
При этом в тех своих правилах не лишним добавить отключение Инета.
 
Добавлено:
shadow_member
Поправил твой пост (заменил # на @) и добавил ссылку в шапку.

Всего записей: 9735 | Зарегистр. 12-10-2001 | Отправлено: 08:36 03-04-2017 | Исправлено: KLASS, 08:44 03-04-2017
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
DimonKP

Цитата:
Есть ли от этого "спасение" штатными средствами?
Только если не давать софту запускаться с правами администратора - в ином случае решения штатными средствами нет.

Цитата:
P.P.S.: BiniSoft Windows Firewall Control имеет следующую фичу:
WFC - да, справляется с этой проблемой.
 
KLASS

Цитата:
Импорт заведомо экспортированных своих правил при загрузке_компа\входе_в_систему.
А пока не перезагрузишься всё будет утекать.

Всего записей: 20414 | Зарегистр. 15-09-2001 | Отправлено: 08:54 03-04-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
WildGoblin
Не, ну делай импорт сразу ручками после обновления софта.
А импорт при загрузке\выходе пригодится после обновления самой системы и софта, требующего
перезагрузку после обновления.
DimonKP
А чего за софт, который правит свои правила после обновления. Может чего и придумать с ним, огласите весь список, пожалуйста (С)

Всего записей: 9735 | Зарегистр. 12-10-2001 | Отправлено: 09:08 03-04-2017
DimonKP



Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS
1) Понял, тогда уж лучше  BiniSoft Windows Firewall Control.
2) вместо правила на блокирования может добавить программное отключение всех сетевых интерфейсов? (если в диспетчере устройств отключить, то они не включатся, даже при обновлении\апгрейде). автоматически при входе\выходе в систему.
p.s.: у меня физический переключатель радиоинтерфйсов на ноуте =)
p.p.s: решение для LAN и т.п.:
а) поиск интерфейсов
netsh interface show interface
выдаст что-то наподобие
Admin State    State                  Type             Interface Name
-------------------------------------------------------------------------
Enabled           Connected         Dedicated     Wireless Network Connection
Disabled          Disconnected    Dedicated     Local Area Connection
выберете нужное с крайней правой колонки
б) создаете 2 батника с названиями Enable ... и Disable ...
в) соответственно содержание для Enable ...
@echo on
timeout /t 10
netsh interface set interface "..." ENABLED
и для Disable ...
@echo on
timeout /t 10
netsh interface set interface "..." DISABLED
г) вместо точек ставите название своего Interface Name, например Local Area Connection.
Время вместо 10 секунд (timeout /t 10) - указываете своё, в секундах.
д) создаёте 2 одноимённых (с батниками) правила в планировщике заданий соответственно при входе\выходе из системы.
Задержка в 5-10 секунд (10-ти для большинства достаточно).
Добавьте в каждом случае выполнение своего скрипта (через "Действие" => "запустить программу").
 
WildGoblin
Понял, просто иначе он не обновляется (весь, который драйвера в себе несёт).

Всего записей: 98 | Зарегистр. 12-11-2009 | Отправлено: 09:22 03-04-2017
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS

Цитата:
Не, ну делай импорт сразу ручками после обновления софта.
Сие банально, да и всё равно момент будет упущен.

Цитата:
А чего за софт, который правит свои правила после обновления.
Айтюнс, фыфокс, дропбокс, стим - несть числа им (по сути любой софт может добавлять/удалять/изменять правила брандмауэра если у него есть административные привилегии).

Всего записей: 20414 | Зарегистр. 15-09-2001 | Отправлено: 09:26 03-04-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
DimonKP

Цитата:
может добавить программное отключение всех сетевых интерфейсов? (если в диспетчере устройств отключить, то они не включатся, даже при обновлении\апгрейде)

Софт, обновляемый через Инет и установленный в системе, будет "не доволен", а вот мне, у которого нет софта в системе, вполне себе разумно заюзать.
WildGoblin
Уууу, такая шняга как itunes давно убита на всех компах и у всех юзеров, только облака.
А дропбокс чего то стучит что-ли?

Всего записей: 9735 | Зарегистр. 12-10-2001 | Отправлено: 09:34 03-04-2017
DimonKP



Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS
если нет никакого сетевого подключения, то лезть в интернет софт не будет. Кроме того, я "написал" инструкцию для автоматизации сего. Подключение появится через 10 сек после входа в систему, вот тогда софт и полезет в интернет.
Перед выходом\выключением интерфейсы выключатся.

Всего записей: 98 | Зарегистр. 12-11-2009 | Отправлено: 09:53 03-04-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
DimonKP
Я же про обновление софта, который у вас установлен в системе и который после обновления изменяет правила, а вы про отключение интерфейсов при выходе\входе.
 
Добавлено:
Добавил ссылку на пост для отключения интерфейсов в шапку.

Всего записей: 9735 | Зарегистр. 12-10-2001 | Отправлено: 09:59 03-04-2017
DimonKP



Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS
Подождите. Я, наверное, всё запутал...
1) самообновление через сам софт я не использую (кроме браузера), всё сам - через браузер\wget
2) для 95% софта интернет для работы не нужен, но правила создаёт...
3) моя инструкция - только альтернатива\дополнение для оптимизации скрипту в шапке

Всего записей: 98 | Зарегистр. 12-11-2009 | Отправлено: 10:23 03-04-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
DimonKP
2) Во как, а чего это за муть такая?

Всего записей: 9735 | Зарегистр. 12-10-2001 | Отправлено: 10:34 03-04-2017
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS

Цитата:
Уууу, такая шняга как itunes давно убита на всех компах и у всех юзеров, только облака.
Звучит так будто ты по клавиатуре просто постучал.

Цитата:
А дропбокс чего то стучит что-ли?
Стучит конечно и ведёт себя хозяйски нагло.

Всего записей: 20414 | Зарегистр. 15-09-2001 | Отправлено: 10:56 03-04-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
WildGoblin
Мне многие вещи могут казаться странными и неразумными, потому как нет софта в системе, отсюда и "простучать по клаве" еще не так могу

Всего записей: 9735 | Зарегистр. 12-10-2001 | Отправлено: 11:04 03-04-2017
Открыть новую тему     Написать ответ в эту тему

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.Board
© Ru.Board 2000-2020

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru