Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows

Модерирует : KLASS, IFkO

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107

Открыть новую тему     Написать ответ в эту тему

KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
  • Как видно из описания темы, речь пойдёт о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии, вся "борьба" с которой сводится к отключению/перенастройке почти всех правил Microsoft.
    Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.
     
  • Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности.
    ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:
       
    Отключаем или удаляем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP)
    Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик)
    и Основы сетей - DNS (UDP - исходящий трафик).


    НЕ ОБЯЗАТЕЛЬНО (на слив телеметрии не влияет, сначала осознайте, для чего вам это нужно):
    Оставив правило DNS, помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд.
    Если таки решили это правило отключить и осознали, зачем вам это надо, обязательно отключите службу DNS-клиент.


    Всё, Интернета нет, как и нет любых других соединений (кроме DHCP и DNS), включая телеметрию. Чтобы убедиться в этом, используйте Wireshark.
    После такой настройки обновления автоматически устанавливаться не будут. Для систем ниже Windows 10 сначала обновите систему, а потом настраивайте правила брандмауэра. Последующие обновления устанавливайте ручками.
    Актуальный список обновлений для Windows 10 см. здесь, рекомендации по обновлению Windows 7 SP1 см. здесь.
    История кумулятивных обновлений для разных версий Windows 10 доступна здесь.
     
  • Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. Иначе говоря, будем создавать "белый" список приложений.
    Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.
     
  • Для того чтобы быстро разобраться, какой программе что нужно открыть в брандмауэре, можно использовать приложение Process Hacker.
    Сборка Process Hacker x86 x64 от Victor_VG или ее русский вариант от KLASS для Windows 10.
    Вопросы по работе Process Hacker (изучите там шапку).
    Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" и запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим, к каким портам, удалённым адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения.
    Для Windows 7 можно воспользоваться набором NetworkTrafficView_russian.
    Также, в любой системе, для отслеживания можно использовать Process Monitor от Марка Руссиновича (в той же теме все вопросы по настройке программы).
     
  • Как добавлять или изменять правила, используя командную строку (команда netsh).
     
  • Контекстное меню в проводнике для файлов .EXE, с помощью которого можно добавлять правила в брандмауэр (Shift+ПКМ).
     
  • Не лишним будет добавить в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.
     
  • Импортируйте свои правила при каждом входе в систему через Планировщик, так как правила от M$ могут быть восстановлены при очередном обновлении.
     
  • Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)
     
  • Также, для удобства создания правил, есть другой инструмент Windows Firewall Control.
    Это надстройка, которая работает в области уведомлений на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws, без необходимости переходить в определённые окна настроек брандмауэра.
     
  • Включить аудит Платформы фильтрации IP-пакетов
     
  • Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell или Netsh
     
  • Проверка брандмауэра на наличие уязвимостей
     
  • Как запретить или разрешить изменять правила брандмауэра. Утилита SubInACL от Microsoft. Нюансы: 1, 2. На сегодня утилита не поддерживается и была убрана с сайта разработчика.
    Ищите в других местах:
    subinacl.exe
    Size: 290 304 Bytes
    CRC32: 90B58A75
    MD5: 53cdbb093b0aee9fd6cf1cbd25a95077
    SHA1: 3b90ecc7b40c9c74fd645e9e24ab1d6d8aee6c2d
    SHA256: 01a2e49f9eed2367545966a0dc0f1d466ff32bd0f2844864ce356b518c49085c
    SHA512: 7335474d6a4b131576f62726c14148acf666e9a2ce54128b23fe04e78d366aa5bdf428fe68f28a42c2b08598d46cada447a4e67d530529b3e10f4282513a425f
     
  • Смежные темы:
    Настройка персональных файерволов (firewall rules)
    Бесконтрольность Windows 10
    Быстрая настройка Windows
     
  • Шапку и около-темные вопросы обсуждаем здесь

Всего записей: 9734 | Зарегистр. 12-10-2001 | Отправлено: 20:59 05-03-2017 | Исправлено: KLASS, 18:23 25-09-2021
Victor_VG



Tracker Mod
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002
 
Реализация механизма loopbask разрисована на полстраницы выше, а перехват данных в ОС до их попадания на вход сетевой аппаратуры был реализован ещё в 70-е, это первое, второе пинг это вообще простое действо - на удалённую систему кидается пакет SYNC, засекается момент его передачи (Tx), та его отсылает обратно, момент его получения ответа (Tr) фиксируется,, а далее просто Tping=(Tr - Tx)/2.  
 
При работе через IP 127.0.0.1 поток данных замыкается в сетевой аппаратуре локальной ЭВМ, но это не гарантирует защиту от аппаратных средств удалённого чтения данных с шин или из памяти ЭВМ. И кстати в современных чипсетах Intel начиная с чипсетов 6-й серии таковые уже встроены и могут дистанционно контролироваться минуя локальную ОС.

----------
Жив курилка! (Р. Ролан, "Кола Брюньон")
Xeon E5 2667/C602J/16 GB REG ECC DDR3-1866/GTX 1660, i7-2600/z68/16 Gb DDR3-1600/GTX 1060 3Gb

Всего записей: 29434 | Зарегистр. 31-07-2002 | Отправлено: 04:53 05-05-2017
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Victor_VG
да не про то разговор в системе можно например сделать программный эмулятор другой системы, там программно сэмулировать сетюху с петлёй, но никакого отношения она не будет иметь к железу и "пакеты" будут бегать между ячейками памяти
 
Добавлено:

Цитата:
И кстати в современных чипсетах Intel начиная с чипсетов 6-й серии таковые уже встроены и могут дистанционно контролироваться минуя локальную ОС.
 

именно про это я и намекал

Всего записей: 1737 | Зарегистр. 03-02-2005 | Отправлено: 05:00 05-05-2017
DimonKP



Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
В плане настройки Windows Firewall есть вариант и попроще: тут.
Там же есть скрипт на PowerShell.
 
WildGoblin

Цитата:
"Настройка Брандмауэра (Windows Firewall)" но из целой страницы плохо отформатированного текста про настройку там всего пара спорных строк
...
Ни для днс-клиента нет правил, ни для синхронизации времени.

 
1) Из шапки строки.
2) А у меня нету удаления правил. Необходимые можно включить обратно, прочитав их описание.
3) В требованиях есть: "Что такое Firewall и зачем?". Если человек даже этого не знает (в интернете в любом удобоваримом виде есть полно информации), то, прошу прощения, зачем ему этот гайд?
4) Версия предварительная, альфа. В ней минимум необходимого.
5) Дополнить\исправить\переписать может любой.
P.S.: форматирование зависит от софта, в котором открывать. Более-менее законченная версия будет в pdf\djvu.

Всего записей: 98 | Зарегистр. 12-11-2009 | Отправлено: 16:23 05-05-2017
chq



Full Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Помогите заставить работать Windows Update.  
Даже при таких вот лояльных правилах:  
 
netsh advfirewall firewall add rule name="Windows Update" dir=Out action=Allow profile=any program="%SystemRoot%\System32\svchost.exe" service="wuauserv" protocol=TCP remoteport=80-83,443,8530-8531 enable=yes
netsh advfirewall firewall add rule name="BITS" dir=Out action=Allow profile=any program="%SystemRoot%\System32\svchost.exe" service="BITS" protocol=TCP remoteport=80,443 enable=yes
 
мне система заявляет что не может подключится ..., текст ругательства:
We couldn't connect to the update service. We'll try again later, or you can check now. If it still doesn't work, make sure you're connected to the Internet.  
Брандмауэр работает в режиме повышенной безопасности:  
netsh advfirewall set allprofiles firewallpolicy blockinbound,blockoutbound

Всего записей: 535 | Зарегистр. 03-08-2011 | Отправлено: 21:21 05-05-2017
KismetT_v3



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Можно включить аудит Платформы фильтрации IP-пакетов Windows и тогда в в журнале Windows - Безопасность можно увидеть Успех и Отказ подключения.
Включается следующим образом:
Сначала смотрим состояние аудита, что бы в случае чего вернуть как было:
auditpol /get /subcategory:{0CCE9226-69AE-11D9-BED3-505054503030}
Затем включаем аудит:  
auditpol /set /subcategory:""{0CCE9226-69AE-11D9-BED3-505054503030}"" /success:enable /failure:enable
 
 

----------
Это я .... И это тоже я .... Мы из этих

Всего записей: 2195 | Зарегистр. 08-04-2016 | Отправлено: 21:39 05-05-2017
Gorkiy

Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS,  в брандмауэре установлено правило синхронизации времени, которое указано в шапке, но синхронизация не работает, если запустить её из батника auto-settings.bat для LTSB.
Как исправить?
 

Всего записей: 12 | Зарегистр. 05-03-2017 | Отправлено: 23:15 05-05-2017 | Исправлено: Gorkiy, 23:16 05-05-2017
chq



Full Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
По видимому еще что то пустить в сеть нужно. Даже если "wuauserv" выпустить на все порты, все равно отказывается работать.

Всего записей: 535 | Зарегистр. 03-08-2011 | Отправлено: 01:20 06-05-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Gorkiy
Запускаем Process Hacker-Вкладка Firewal, жамкаем в батнике ""Выполнить синхронизацию времени"-Смотрим в Хакере что не может выйти в сеть. Создаем для этого "ЧТО" разрешающее исхожящее правило.

Всего записей: 9734 | Зарегистр. 12-10-2001 | Отправлено: 10:17 06-05-2017
chq



Full Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Не у кого выше указанной проблемы не возникало?  
По логике, все должно работать. Для службы wuauserv порт открыт.
netsh advfirewall firewall add rule name="Windows Update service (HTTP,HTTPS-TCP-Out)" dir=Out action=Allow profile=any program="%SystemRoot%\System32\svchost.exe" service="wuauserv" protocol=TCP remoteport=80-83,443,8530-8531 enable=yes
Но при всем этом видно, что svchost на 443 не может достучатся. Прямого доступа ему я, понятно, не открою. Так в чем же может быть проблема то?  
Ссылка

Всего записей: 535 | Зарегистр. 03-08-2011 | Отправлено: 03:10 07-05-2017 | Исправлено: chq, 03:11 07-05-2017
shadow_member



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
chq
Адрес 134... не в списке заблокированных?

Всего записей: 21969 | Зарегистр. 18-07-2006 | Отправлено: 07:46 07-05-2017
boi1eI

BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
chq
Цитата:
Прямого доступа ему я, понятно, не открою.
А в чем секрет сего действа, можно узнать?

Всего записей: 1645 | Зарегистр. 02-10-2014 | Отправлено: 13:06 07-05-2017
chq



Full Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
boi1eI
А зачем на 80 и 443 порты svchost прямо пускать? Секрет в том, что через него работает не много, не мало, около 60 служб, открывать ему прямой доступ равнозначно открытию доступа им всем на эти порты. Указать адреса IP не представляется возможным, даже Microsoft представляет ряд DNS адресов, IP у них не постоянны. Увы, DNS адрес в бранмауэре не указать.  
shadow_member  
Открыты по протоколу ICMPv6, или вы имеете в виду открыть им доступ по TCP или UPD?
Core Networking - Router Advertisement (ICMPv6-In)
Core Networking - Router Advertisement (ICMPv6-Out)
Я в целях эксперимента открывал доступ svchost на 80 и 443 прямо, так обновления работали. Вопрос остался в том, почему перестает работать обновления при открытии доступа только для службы обновления? Или Windows 10 какой то еще сервис использует для проверки обновлений?  

Всего записей: 535 | Зарегистр. 03-08-2011 | Отправлено: 13:43 07-05-2017 | Исправлено: chq, 13:58 07-05-2017
shadow_member



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
chq
Да, именно так. Значит, что-то еще там svchost"у нужно. А случайно другого Запрещающего правила на 443 для svchost нет?
Но, тем не менее, раз уж ты "сел за баранку этого пылесоса", то что ж тогда бояться пускать его на 443? Разрешать только на период проверки обновлений.

Всего записей: 21969 | Зарегистр. 18-07-2006 | Отправлено: 14:04 07-05-2017
boi1eI

BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
chq (13:43 07-05-2017)
Цитата:
А зачем на 80 и 443 порты svchost прямо пускать? Секрет в том, что через него работает не много, не мало, около 60 служб, открывать ему прямой доступ равнозначно открытию доступа им всем на эти порты.
Исходящие, да пускай. У меня на этот случай надстройка над финдовым фаером Windows Firewall Notifier. Ловит все исходящие в деталях, в том числе и отдельно службы.
упрощая отлов всякой всячины. С 10-кой не знаю как дружит, но новые версии должны, по идее.
И да, самого svchost-а тоже надо пускать.

Всего записей: 1645 | Зарегистр. 02-10-2014 | Отправлено: 14:18 07-05-2017
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Victor_VG

Цитата:
А на OS/2, Lantastick, Lan Manager Vines, UNIX, Linux, Open VMS где такая штука так же существует и реализуется средствами подуровня MAC через аппаратуру (смотри стандарты ISO/CCITT)
Зачем ты опять несёшь этот бред про некрооси типа полуось (названия топика способен прочитать - есть там слово "линукс")?
 
Ну и про "реализуется средствами подуровня MAC через аппаратуру" - как оно реализуется через аппаратуру если, к примеру, сетевого оборудования на машине нет, а loopback отлично работает?
 
P.S. Ты в который раз сев в лужу вместо того что бы выбраться из неё стараешься забрызгать окружающих (Помнишь как лет десять назад ты утверждал, что в виртуалной машине VMware 3D-ускорение не может быть по определению? )
 
P.P.S. Ладно - не обижайся на мой дружеский и справедливый пинок - погугли что-то типа "Microsoft Loopback Adapter" и т.п.
 
Us2002

Цитата:
вопрос лишь в том на каком уровне пакет с адресом 127 бегает и кто его может параллельно послушать, аппаратура или что-то повыше
Ответ на этот вопрос не даст вам ровным счётом ничего ибо вы всё равно не знаете, что с ним делать
 
Я уже не говорю про элементарную возможность открыть "М. Руссинович, Д. Соломон - Внутреннее устройство Microsoft Windows 6-е издание" и посмотреть про лупбак.

Всего записей: 20398 | Зарегистр. 15-09-2001 | Отправлено: 14:26 07-05-2017
chq



Full Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
shadow_member
Для svchost нету запрещающих больше на 443 и 80 порты. Брандмауэр в режиме WhiteList. Разрешать только на период проверки не удобно как то. Что то Microsoft намудрили. У меня сейчас много больше времени уходит только на отключения лишнего, чем это было в былые времена. Понять только не могу, никто на эти грабли не наступал с Windows Update сейчас? В интернете информации нету о каких то изменениях.

Всего записей: 535 | Зарегистр. 03-08-2011 | Отправлено: 14:27 07-05-2017
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002

Цитата:
да не про то разговор в системе можно например сделать программный эмулятор другой системы, там программно сэмулировать сетюху с петлёй...
Не надо "сетюху с петлёй" - в виртуалке (и в реальной машине) лупбак работает и без "сетюхи".

Всего записей: 20398 | Зарегистр. 15-09-2001 | Отправлено: 14:28 07-05-2017
masterlola

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
sweepp

Всего записей: 58 | Зарегистр. 30-08-2015 | Отправлено: 15:14 07-05-2017 | Исправлено: masterlola, 17:27 10-05-2017
chq



Full Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
shadow_member
Из любопытства, нарисовал исходящее правило на 80,443 порты для каждого сервиса из  
tasklist /SVC /FI "IMAGENAME eq svchost.exe"
чтобы методом исключения найти, но не тут то было.
Все равно не проверяет обновление. Но если svchost выпустить на те же порты, проверяет.  
Видать Microsoft создает условия, чтобы им для шпионства порты открывали.  

Всего записей: 535 | Зарегистр. 03-08-2011 | Отправлено: 15:28 07-05-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
masterlola
Туда с вопросами по Хакеру.

Всего записей: 9734 | Зарегистр. 12-10-2001 | Отправлено: 15:39 07-05-2017
Открыть новую тему     Написать ответ в эту тему

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.Board
© Ru.Board 2000-2020

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru