Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows

Модерирует : KLASS, IFkO

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117

Открыть новую тему     Написать ответ в эту тему

KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
  • Как видно из описания темы, речь пойдёт о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии, вся "борьба" с которой сводится к отключению/перенастройке почти всех правил Microsoft.
    Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.
     
  • Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности.
    ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:
       
    Отключаем или удаляем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP)
    Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик)
    и Основы сетей - DNS (UDP - исходящий трафик).


    НЕ ОБЯЗАТЕЛЬНО (на слив телеметрии не влияет, сначала осознайте, для чего вам это нужно):
    Оставив правило DNS, помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд.
    Если таки решили это правило отключить и осознали, зачем вам это надо, обязательно отключите службу DNS-клиент.


    Всё, Интернета нет, как и нет любых других соединений (кроме DHCP и DNS), включая телеметрию. Чтобы убедиться в этом, используйте Wireshark.
    После такой настройки обновления автоматически устанавливаться не будут. Для систем ниже Windows 10 сначала обновите систему, а потом настраивайте правила брандмауэра. Последующие обновления устанавливайте ручками.
    Актуальный список обновлений для Windows 10 см. здесь, рекомендации по обновлению Windows 7 SP1 см. здесь.
    История кумулятивных обновлений для разных версий Windows 10 доступна здесь.
     
  • Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. Иначе говоря, будем создавать "белый" список приложений.
    Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.
     
  • Для того чтобы быстро разобраться, какой программе что нужно открыть в брандмауэре, можно использовать приложение Process Hacker.
    Сборка Process Hacker x86 x64 от Victor_VG или ее русский вариант от KLASS для Windows 10.
    Вопросы по работе Process Hacker (изучите там шапку).
    Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" и запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим, к каким портам, удалённым адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения.
    Для Windows 7 можно воспользоваться набором NetworkTrafficView_russian.
    Также, в любой системе, для отслеживания можно использовать Process Monitor от Марка Руссиновича (в той же теме все вопросы по настройке программы).
     
  • Как добавлять или изменять правила, используя командную строку (команда netsh).
     
  • Контекстное меню в проводнике для файлов .EXE, с помощью которого можно добавлять правила в брандмауэр (Shift+ПКМ).
     
  • Не лишним будет добавить в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.
     
  • Импортируйте свои правила при каждом входе в систему через Планировщик, так как правила от M$ могут быть восстановлены при очередном обновлении.
     
  • Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)
     
  • Также, для удобства создания правил, есть другой инструмент Windows Firewall Control.
    Это надстройка, которая работает в области уведомлений на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws, без необходимости переходить в определённые окна настроек брандмауэра.
     
  • Включить аудит Платформы фильтрации IP-пакетов
     
  • Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell или Netsh
     
  • Проверка брандмауэра на наличие уязвимостей
     
  • Как запретить или разрешить изменять правила брандмауэра. Утилита SubInACL от Microsoft. Нюансы: 1, 2. На сегодня утилита не поддерживается и была убрана с сайта разработчика.
    Ищите в других местах:
    subinacl.exe
    Size: 290 304 Bytes
    CRC32: 90B58A75
    MD5: 53cdbb093b0aee9fd6cf1cbd25a95077
    SHA1: 3b90ecc7b40c9c74fd645e9e24ab1d6d8aee6c2d
    SHA256: 01a2e49f9eed2367545966a0dc0f1d466ff32bd0f2844864ce356b518c49085c
    SHA512: 7335474d6a4b131576f62726c14148acf666e9a2ce54128b23fe04e78d366aa5bdf428fe68f28a42c2b08598d46cada447a4e67d530529b3e10f4282513a425f
     
  • Ещё раз про "секретные, неотключаемые разрешающие правила" RestrictedServices
     
  • Смежные темы:
    Настройка персональных файерволов (firewall rules)
    Бесконтрольность Windows 10
    Быстрая настройка Windows
     
  • Шапку и около-темные вопросы обсуждаем здесь

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 20:59 05-03-2017 | Исправлено: WildGoblin, 13:05 15-06-2022
CruSanodeR



Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
del

Всего записей: 207 | Зарегистр. 30-09-2015 | Отправлено: 20:47 04-04-2017 | Исправлено: CruSanodeR, 20:55 04-04-2017
shadow_member



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
В дополнение к
Цитата:
Запретить приложениям создавать новые правила брандмауэра Windows
Автор binisoft считает так:
Цитата:
В этом случае будут применяться только те новые правила, которые созданы в редакторе локальной групповой политики. Любое же новое правило, созданное в Брандмауэре Windows в режиме повышенной безопасности, или в Windows Firewall Control, или сторонним софтом через netsh, не будет применяться вообще.  
Я понимаю так, что сторонний софт создать свое правило сможет, но оно все равно не будет применено (будет выключено?).
Нужно изучать.

Всего записей: 22354 | Зарегистр. 18-07-2006 | Отправлено: 09:05 05-04-2017
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
shadow_member

Цитата:
Я понимаю так, что сторонний софт создать свое правило сможет, но оно все равно не будет применено (будет выключено?).
Софт запущенный с административными привилегиями может делать в системе всё что угодно (если ему только активно не противодействует сторонний софт) и никаким образом ему невозможно запретить создавать/изменять/удалять правила фаервола.

Всего записей: 29107 | Зарегистр. 15-09-2001 | Отправлено: 12:54 05-04-2017
LevT



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
WildGoblin

Цитата:
и никаким образом ему невозможно запретить создавать/изменять/удалять правила фаервола.

 
устранять последствия может DSC
 
насчёт запретить - надо изучать "матан". Возможно, что есть вариант повесить WMI-обработчик на событие изменения правил или даже на попытку записи в настройки.

Всего записей: 17126 | Зарегистр. 14-10-2001 | Отправлено: 13:10 05-04-2017 | Исправлено: LevT, 13:10 05-04-2017
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
LevT

Цитата:
устранять последствия может DSC
Для устранения полно средств и это не проблема - предотвратить, вот это небольшая проблемка.

Цитата:
Возможно, что есть вариант повесить WMI-обработчик на событие изменения правил или даже на попытку записи в настройки.
Только софт с парольной защитой настроек сможет противодействовать программе запущенной с административными привилегиями создавать/изменять/удалять правила фаервола.

Всего записей: 29107 | Зарегистр. 15-09-2001 | Отправлено: 13:24 05-04-2017
LevT



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
WildGoblin

Цитата:
Для устранения полно средств

 
Для автоматического устранения?
 
 

Цитата:
вот это небольшая проблемка.  

 
небольшая? Предлагай решение
 
 

Цитата:
Только софт с парольной защитой настроек сможет противодействовать программе запущенной с административными привилегиями создавать/изменять/удалять правила фаервола.

 
Это мне представляется неверным. По крайней мере событие изменения отследить точно можно, с целью откатить сразу же.
Вопрос в том, насколько матанистый нужен матан.
 
Но в любом случае если разок кому-то разобраться, можно предоставить для остальных простые рычаги настройки реакции пошиком.
 

Всего записей: 17126 | Зарегистр. 14-10-2001 | Отправлено: 13:51 05-04-2017 | Исправлено: LevT, 13:53 05-04-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
LevT
Вот те и задание
Может пошик помочь в предотвращении (не удалении правила после того как) создания правила без ведома пользователя?
Тогда, даешь! скрипт

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 14:10 05-04-2017 | Исправлено: KLASS, 14:11 05-04-2017
LevT



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
https://community.spiceworks.com/topic/282097-trying-to-find-windows-firewall-events
 
https://learn-powershell.net/2013/01/30/powershell-and-events-engine-events/
 
кстати, вот ещё:
https://www.howtogeek.com/220204/how-to-track-firewall-activity-with-the-windows-firewall-log/
 
 
Добавлено:
KLASS

Цитата:
Вот те и задание

 
не, сейчас я не буду в это вкладывать своё время.
Я ещё недостаточно разобрался с более базовыми вещами.
 
 
Добавлено:
KLASS
это вообще-то не пошик, а WMI/CIM
 
http://gen.lib.rus.ec/book/index.php?md5=564DE5B0632324A6ABD945441BCACFFF
Надо изучать эту книгу, но она у меня даже не в топе пока.

Всего записей: 17126 | Зарегистр. 14-10-2001 | Отправлено: 14:15 05-04-2017 | Исправлено: LevT, 14:23 05-04-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
LevT

Цитата:
это вообще-то не пошик, а WMI/CIM

Вот пусть пошик и дергает (с твоих слов записано верно) любые системные механизмы для реализации такой задачи. К чему писать простыни, которые никто, кроме тебя, не видит?
А тут общественный разум уперся в задачу... это ли не возможность реализовать свои познания на деле и для всех?

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 14:30 05-04-2017
LevT



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS

Цитата:
К чему писать простыни, которые никто, кроме тебя, не видит?  

 
Такие простыни - это вложения в собственную инфраструктуру: свой умственный и компьютерный ресурс.
В следующий раз простыни будут короче и удобопонятнее, а их написание менее затратным.
 
Ну и я ещё не доделал собственную лабу, хотя подобрался очень близко.
Любые конфиги должны у меня подниматься автоматически, чтобы результат было не жалко испортить и убить.
Имея такую лабу, я сведу к минимуму свои затраты на переключение к твоим просьбам )

Всего записей: 17126 | Зарегистр. 14-10-2001 | Отправлено: 14:54 05-04-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
LevT


Цитата:
Такие простыни - это вложения в собственную инфраструктуру: свой умственный и компьютерный ресурс.

Ага, а здесь тогда они к чему? Бекапишься

Цитата:
я сведу к минимуму свои затраты на переключение к твоим просьбам )  

Надеюсь до этого многие доживут

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 15:00 05-04-2017
LevT



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS

Цитата:
Ага, а здесь тогда они к чему? Бекапишься

 
любая разработка это процесс последовательных улучшений.
Следует делить форумчан на потребителей готового и людей, согласных участвовать в коллективном процессе (для сотрудничества есть площадки, фактический стандарт - гитхаб).
 
Пока нет годного релиза, первых надо игнорировать.
Релиз это знак готовности отвлечь часть ресурсов разработчиков на обратную связь от потребителей: поддержку и багфиксы.
Я релизнул тут скрипт инвентаризации виндовых iso: обратной связи пока не дождался (
 

Всего записей: 17126 | Зарегистр. 14-10-2001 | Отправлено: 15:08 05-04-2017 | Исправлено: LevT, 15:22 05-04-2017
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
LevT

Цитата:
Для автоматического устранения?
Трудно разве автоматизировать импорт готовой конфигурации в фаер и т.д.?

Цитата:
небольшая? Предлагай решение
Использовать сторонний софт, отключать инет и импортировать готовый конфиг - решения есть, а стало быть проблема небольшая.

Цитата:
Это мне представляется неверным.
Ну а как ещё? Вы даёте проге возможность полного контроля над системой (путём её запуска с административными привилегиями) и тут же хотите её как-то ограничить.

Цитата:
По крайней мере событие изменения отследить точно можно, с целью откатить сразу же.
Давайте пойдём дальше и подумаем над тем что программе помешает этому противодействовать?

Цитата:
http://gen.lib.rus.ec/book/index.php?md5=564DE5B0632324A6ABD945441BCACFFF
Надо изучать эту книгу, но она у меня даже не в топе пока.
Качнул, спасибо!

Цитата:
Ну и я ещё не доделал собственную лабу, хотя подобрался очень близко.
Опишешь как доделаешь?
 
Я такую задачу решил с помощью множества виртуалок на вмваре.

Всего записей: 29107 | Зарегистр. 15-09-2001 | Отправлено: 15:30 05-04-2017 | Исправлено: WildGoblin, 15:48 05-04-2017
LevT



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
WildGoblin

Цитата:
Ну а как ещё? Вы даёте проге возможность полного контроля над системой (путём её запуска с административными привилегиями) и тут же хотите её как-то ограничить.  

 
Если автор проги дюже умный, чтобы бороться с умным соперником, то выйдет интересно)  
Но обычно они не настолько умны.
 
Много ли из таких прог подчищают за собой системные логи?
А как они могут воспрепятствовать сработать обработчикам системных событий, я сейчас сам ума не приложу.
Соперник может оказаться умнее - но это будет редкий соперник.
 
 

Цитата:
Опишешь как доделаешь?  

 
Ещё позавчера я бы определённо сослался на модуль LabBuilder
Но вчера наткнулся на вот это: http://dscrocks.azurewebsites.net/
 
Хочу скрестить то и другое. Подозреваю, что того же хочет и автор LabBuilder - и потому он давно застрял на версии 0.8.3.1107
Впрочем, вполне годной версии.

Всего записей: 17126 | Зарегистр. 14-10-2001 | Отправлено: 15:44 05-04-2017 | Исправлено: LevT, 15:46 05-04-2017
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
LevT

Цитата:
Если автор проги дюже умный, чтобы бороться с умным соперником, то выйдет интересно)  
То выйдет не интересно, а файервол с антивирусом!

Цитата:
Много ли из таких прог подчищают за собой системные логи?
Есть такие - руткиты называются.

Всего записей: 29107 | Зарегистр. 15-09-2001 | Отправлено: 15:52 05-04-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
WildGoblin

Цитата:
Вы даёте проге возможность полного контроля над системой (путём её запуска с административными привилегиями) и тут же хотите её как-то ограничить.

Ты Windоws Firewall Control юзаешь, она запрещает проге с админскими правами что-то прописывать? Если да, то ничто не мешает сделать это системными средствами, тока пока нам неведомыми.

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 16:05 05-04-2017
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS

Цитата:
Ты Windоws Firewall Control юзаешь, она запрещает проге с админскими правами что-то прописывать?
Запрещает, но думаю никакой сложности обойти WFC нет т.к. и защиты никакой у неё нет (там же просто сервис загружается и морда к нему - дров нет).

Цитата:
Если да, то ничто не мешает сделать это системными средствами, тока пока нам неведомыми.
Не получится так сделать - только если прогой какой, которая будет перехватывать все запросы, к примеру, к конфигурации фаера и фильтровать их в соответствии с возложенными задачами. Доступ к этой проге должен быть ограничен паролем (а прога будет называться Антивирус+Файервол+Хипс ).
 
Другой вариант: не использовать инсталляторы/программы которые требуют повышения прав до админа, а потом творят в системе всякие мерзости (типа инсталлятора дропбокса).

Всего записей: 29107 | Зарегистр. 15-09-2001 | Отправлено: 16:29 05-04-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
shadow_member

Цитата:
Я понимаю так, что сторонний софт создать свое правило сможет, но оно все равно не будет применено (будет выключено?).  

Проверил. Оно даже не выключено, но сИравно не работает.
Сделал все телодвижения, что ты выше указывал, при этом не стал удалять уже созданные правила в брандмауэре, а сразу сделал экспорт правил в локальной политике безопасности, потом запретил объединение правил для всех профилей и отключил в политике правила для браузера, при этом другие правила для браузера, созданные через панель управление\администрирование были включены, НО! браузер озяб открывать любую страницу.
Ура! Используя системные средства, отыскалась возможность прогам (и самой выни, по-видимому), при создании левых правил без оповещения пользователя, таки запретить юзать эти правила, даже, если они включены  
Т.е. тупо правила для брандмауэра создаем используя Редактор локальной групповой политики, либо Локальную политику безопасности, что в принципе яйца одни.
Кстати, LevT, что по поводу создания правил для брандмауэра через политику, скажет уважаемый пошик

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 18:27 05-04-2017 | Исправлено: KLASS, 18:31 05-04-2017
shadow_member



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS
Т.е. таки автор binisoft прав. А я запутался в этом эксперименте, тоже браузер не мог выйти в сеть, а потом еще подвязал сюда и Windows Firewall Control, и мозг окончательно закипел.
 После выполнения всех манипуляций в Локальной политике безопасности ни FireWallRulesParser, ни WFC не видели ни одного правила!
Согласен, теперь бы найти дружелюбный способ создания правил.

Всего записей: 22354 | Зарегистр. 18-07-2006 | Отправлено: 19:11 05-04-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
shadow_member
Угу, прав... я же первый раз дошел только до создания правил в политике и, когда увидел, что правила, создаваемые через Администрирование, таки создаются\меняются, "расслабился" и подумал, что не работает. А надо было до конца идти и проверить, тем более у меня в системе чисто и ничто не мешает это сделать. В любом случае, это лучшее на сегодня, что мы ведаем, но я не сомневаюсь, что есть и еще внутренние возможности зарытые индусами по-глубже

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 19:19 05-04-2017
Открыть новую тему     Написать ответ в эту тему

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.B0ard
© Ru.B0ard 2000-2024

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru