Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows

Модерирует : KLASS, IFkO

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117

Открыть новую тему     Написать ответ в эту тему

KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
  • Как видно из описания темы, речь пойдёт о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии, вся "борьба" с которой сводится к отключению/перенастройке почти всех правил Microsoft.
    Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.
     
  • Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности.
    ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:
       
    Отключаем или удаляем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP)
    Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик)
    и Основы сетей - DNS (UDP - исходящий трафик).


    НЕ ОБЯЗАТЕЛЬНО (на слив телеметрии не влияет, сначала осознайте, для чего вам это нужно):
    Оставив правило DNS, помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд.
    Если таки решили это правило отключить и осознали, зачем вам это надо, обязательно отключите службу DNS-клиент.


    Всё, Интернета нет, как и нет любых других соединений (кроме DHCP и DNS), включая телеметрию. Чтобы убедиться в этом, используйте Wireshark.
    После такой настройки обновления автоматически устанавливаться не будут. Для систем ниже Windows 10 сначала обновите систему, а потом настраивайте правила брандмауэра. Последующие обновления устанавливайте ручками.
    Актуальный список обновлений для Windows 10 см. здесь, рекомендации по обновлению Windows 7 SP1 см. здесь.
    История кумулятивных обновлений для разных версий Windows 10 доступна здесь.
     
  • Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. Иначе говоря, будем создавать "белый" список приложений.
    Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.
     
  • Для того чтобы быстро разобраться, какой программе что нужно открыть в брандмауэре, можно использовать приложение Process Hacker.
    Сборка Process Hacker x86 x64 от Victor_VG или ее русский вариант от KLASS для Windows 10.
    Вопросы по работе Process Hacker (изучите там шапку).
    Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" и запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим, к каким портам, удалённым адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения.
    Для Windows 7 можно воспользоваться набором NetworkTrafficView_russian.
    Также, в любой системе, для отслеживания можно использовать Process Monitor от Марка Руссиновича (в той же теме все вопросы по настройке программы).
     
  • Как добавлять или изменять правила, используя командную строку (команда netsh).
     
  • Контекстное меню в проводнике для файлов .EXE, с помощью которого можно добавлять правила в брандмауэр (Shift+ПКМ).
     
  • Не лишним будет добавить в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.
     
  • Импортируйте свои правила при каждом входе в систему через Планировщик, так как правила от M$ могут быть восстановлены при очередном обновлении.
     
  • Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)
     
  • Также, для удобства создания правил, есть другой инструмент Windows Firewall Control.
    Это надстройка, которая работает в области уведомлений на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws, без необходимости переходить в определённые окна настроек брандмауэра.
     
  • Включить аудит Платформы фильтрации IP-пакетов
     
  • Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell или Netsh
     
  • Проверка брандмауэра на наличие уязвимостей
     
  • Как запретить или разрешить изменять правила брандмауэра. Утилита SubInACL от Microsoft. Нюансы: 1, 2. На сегодня утилита не поддерживается и была убрана с сайта разработчика.
    Ищите в других местах:
    subinacl.exe
    Size: 290 304 Bytes
    CRC32: 90B58A75
    MD5: 53cdbb093b0aee9fd6cf1cbd25a95077
    SHA1: 3b90ecc7b40c9c74fd645e9e24ab1d6d8aee6c2d
    SHA256: 01a2e49f9eed2367545966a0dc0f1d466ff32bd0f2844864ce356b518c49085c
    SHA512: 7335474d6a4b131576f62726c14148acf666e9a2ce54128b23fe04e78d366aa5bdf428fe68f28a42c2b08598d46cada447a4e67d530529b3e10f4282513a425f
     
  • Ещё раз про "секретные, неотключаемые разрешающие правила" RestrictedServices
     
  • Смежные темы:
    Настройка персональных файерволов (firewall rules)
    Бесконтрольность Windows 10
    Быстрая настройка Windows
     
  • Шапку и около-темные вопросы обсуждаем здесь

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 20:59 05-03-2017 | Исправлено: WildGoblin, 13:05 15-06-2022
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Переехали отсюда
4r0

Цитата:
 
Windows 7, Total Commander Portable, запущенный от админа. Брандмауэр настроен на "белый список", никаких правил для TotalCommanderPortable.exe и totalcmd64.exe нет. Выбираем справка - проверка обновлений, коммандер сам создаёт правило для ВХОДЯЩИХ tcp и udp и выдаёт окошко о доступности загрузки новой версии. Если запустить TotalCommanderPortable.exe через RUNAS с /trustlevel:0x20000, никаких правил в брандмауэре не создается, а окно о доступности новой версии всё равно появляется.  
 
TCPView:  
TOTALCMD64.EXE    480    UDP                64511    *    *        7    287                                  
 
Даже если не думать, каким хреном программа ПОСЛАЛА запрос, не имея разрешающего правила на ИСХОДЯЩЕЕ соединение (она же добавила правило только для входящих соединений, а в случае с trustlevel 0x20000 вообще правил нет), неужели svchost.exe с правами SYSTEM не может сам добавить для себя разрешающее правило минимум на период обмена информацией с серверами MS?
 

Total Commander запускается от админа по умолчанию и пишет правила во входящие молча, причем пишет сразу,
без жамкания Справка=>Проверить обновы. При этом, после закрытия, правила за собой удаляет.
А на кой пишет? Этот вопрос надо адресовать "собирателю" сборки, потому как в нее
можно воткнуть все, что душа пожелает, в том числе и запуск трояна при запуске TC.
Обновы проверяет через разрешающее правило Основы сетей - DNS (UDP - исходящий трафик), если
правило отключить (и перегрузиться), то и не сбегает до дома.
Соббсно, вернулись к тому, что некоторые программы умеют лазать домой по UDP 53, с вытекающими.
Когда то я, начиная эту тему, прописал в шапке, что создавайте правила DNS для каждой программы, которой нужен Инет,
но народу это не понравилось и я запись убрал.
В теме даже было обсуждение, что другой файловый менеджер Directory Opus умеет сливать инфу о регистрации домой именно по UDP 53.
Вот здесь объяснял, что создаю для каждого приложения отдельное правило по UDP 53 и далее несколько страниц тоже полезно почитать.
 
Добавлено:
PS
Добавил в шапку и пусть каждый сам решает, как ему поступить

Цитата:
Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик)
и Основы сетей - DNS (UDP - исходящий трафик), но оставив это правило DNS помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд.
Потому для верности, создавайте правила DNS для каждой программы из белого списка, а правило Основы сетей - DNS (UDP - исходящий трафик) предпочтительно тоже отключить.
Отключив правило, обязательно отключите службу DNS-клиент

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 14:15 10-04-2018 | Исправлено: KLASS, 19:22 11-04-2018
4r0

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS
TOTALCMD64.EXE    2344    UDP                53350    *    *                                            
 
Создал такое исходящее правило:
DNS (UDP - исходящий трафик)
%SystemRoot%\System32\svchost.exe
Применить к службе DNS-клиент
Протокол UDP, удалённый порт 53, удалённый IP - адреса моих DNS серверов, остальное оставил по умолчанию.
 
Тотал коммандер это не останавливает, значит, и всех остальных - тоже.

Всего записей: 731 | Зарегистр. 26-01-2010 | Отправлено: 18:38 10-04-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
4r0
Все верно, только не всех, а шибко "умных" программ, которым надо лезть
через правило UDP для svchost (в частности, DNS-клиента) домой, либо проверить обновы,
либо слить инфу о левой регистрации, либо еще для чего. Отсюда, сказанное выше и добавленное
в шапку, имеет право на существование, потому как, если это реализовать при настройке брандмауэра, то
никакой тотал не пролезет и об этом докладывает Process Hacker на вкладке Firewall

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 20:38 10-04-2018
4r0

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS
У меня для браузеров открыты все исходящие по TCP и UDP, но если не разрешить svchost.exe исходящее по UDP:53 - интернета как бы нет. Пробовал отдельным правилом дать исходящий доступ для firefox.exe по UDP:53 (что само по себе странно, ведь ему и так весь UDP разрешён), но не помогает.
Видимо, я что-то не так понимаю.

Всего записей: 731 | Зарегистр. 26-01-2010 | Отправлено: 20:54 10-04-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
4r0

Цитата:
но если не разрешить svchost.exe исходящее по UDP:53 - интернета как бы нет.

В шапке есть

Цитата:
а правило Основы сетей - DNS (UDP - исходящий трафик) предпочтительно тоже отключить.  
Отключив правило, обязательно отключите службу DNS-клиент

Служба отключена?

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 21:01 10-04-2018
4r0

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS
Спасибо за помощь, завтыкал часть про службу DNS.

Всего записей: 731 | Зарегистр. 26-01-2010 | Отправлено: 22:03 10-04-2018
Victor_VG



Tracker Mod
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
4r0
 
Винда так со времён Windows for Workgroup 3.1 (1991 год) проверяет запросом к одному из серверов Микрософт доступ в Интернет - если сервер отвечает считается что доступ есть, нет ответа и дальнейшие проверки не проводятся, а все внешние сети объявляются недоступными.

----------
Жив курилка! (Р. Ролан, "Кола Брюньон")
Xeon E5 2697v2/C602/128 GB PC3-14900L/GTX 1660 Ti, Xeon E5-2697v2/C602J/128 Gb PC3-14900L/GTX 1660 Ti

Всего записей: 33133 | Зарегистр. 31-07-2002 | Отправлено: 01:52 11-04-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Victor_VG
Если проверка запросом к одному из серверов Микрософт отключена в групповой политике?
Никак не въеду.
Есть программа, та же Total Commander, для которой нет разрешающего исходящего правила в брандмауэре и
при этом все исходящие соединения запрещены, но тем не менее Total умудряется проверить обновления. Как?

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 08:36 11-04-2018
lex25

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS

Цитата:
Есть программа, та же Total Commander, для которой нет разрешающего исходящего правила в брандмауэре и  
при этом все исходящие соединения запрещены, но тем не менее Total умудряется проверить обновления. Как?

Всё очень просто:
Total Commander делает запрос DNS серверу - releaseversion.ghisler.com и получает ответ > releaseversion.ghisler.com.  3600  IN  TXT  "10.9.12.0;1" - Где 9.12 актуальная версия программы.
 
Вот так это выглядит на роутере:
Apr 11 22:16:30 TL-WR1043ND daemon.info dnsmasq[18564]: query[TXT] releaseversion.ghisler.com from 192.168.x.xxx
 
Apr 11 22:16:30 TL-WR1043ND daemon.info dnsmasq[18564]: forwarded releaseversion.ghisler.com to 8.8.8.8
 
Apr 11 22:16:30 TL-WR1043ND daemon.info dnsmasq[18564]: forwarded releaseversion.ghisler.com to 8.8.4.4
 
Apr 11 22:16:30 TL-WR1043ND daemon.info dnsmasq[18564]: reply releaseversion.ghisler.com is 10.9.12.0;1

Всего записей: 37 | Зарегистр. 07-01-2007 | Отправлено: 15:34 11-04-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
lex25

Цитата:
releaseversion.ghisler.com

Что-то прояснилось. Может ответ от ДНС сервера, после запроса от пользователя,
выдать команду программе (не важно какой) внести изменения, скажем, в реестр?
 
Добавлено:
Разверну вопрос.
К примеру, есть регистрация программы, слив которой происходит через 53 UDP на аналогичный сервер DNS.
Если регистрационные данные левые (скажем, со всего света сыпятся одни и те же), то ответ от DNS сервера
очевиден. В нашем случае, Total Commander выкидывает окно про обнову, получив инфу от ДНС-сервера, а можно ведь
и другую команду выполнить, если в программе это заложено при получении определенного ответа от ДНС-сервера.
Или я уже увлекся?

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 15:44 11-04-2018
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
а что этому может помешать, если внутри проги есть код такого функционала + есть права на запись в конкретной ветке реестра

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 16:35 11-04-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002
Еще вот непонятно, как то запрос от коммандера обрабатывается
1. напрямую низя, нет для коммандера разрешающих правил, тогда
2. коммандер шлет ДНС-клиенту и тот, через свое разрешающее правило, отправляет по назначению.
Хочется какого-то порядку в котелке )

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 16:42 11-04-2018
lex25

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS
Us2002 Прав, >что этому может помешать, если внутри проги есть код
При желании можно и DNS туннель поднять ))
 
KLASS

Цитата:
1. напрямую низя, нет для коммандера разрешающих правил, тогда
2. коммандер шлет ДНС-клиенту и тот, через свое разрешающее правило, отправляет по назначению.  
Хочется какого-то порядку в котелке )

Нет никакого "тогда".  
Коммандер просто шлет запрос DNS серверу, если работает DNS резолвер (ДНС-клиент), то соответственно все идет через него.
 
Добавлено:
KLASS

Цитата:
В теме даже было обсуждение, что другой файловый менеджер Directory Opus умеет сливать инфу о регистрации домой именно по UDP 53.  
 

 
Посмотрел прогу:
Шлет запрос к vfr0.gpsoft.com.au
Ответ:
"TXT" DNS records for vfr0.gpsoft.com.au:
 
vfr0.gpsoft.com.au.  3600  IN  TXT  "vfr1.gpsoft.com.au"
 
Далее запрос к vfr1.gpsoft.com.au:
Ответ:
"TXT" DNS records for vfr1.gpsoft.com.au:
 
vfr1.gpsoft.com.au.  3600  IN  TXT  "8:gwbsa6q8lb5wxp50rmtrarbfwwnmnhbz80jg26cvait8wpzphp6zl87nmtgonvnp6ajk1t2bawpotjix5x6b2kprafgy22lzvkjqyxructsa2uohh0lwy4vmuriu0hz2fxzulfjaln8rc2464nipox1w5uagvcug"
 
Не знаю что это, возможно черный список с которым сверяется прога.

Всего записей: 37 | Зарегистр. 07-01-2007 | Отправлено: 18:32 11-04-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
lex25

Цитата:
то соответственно все идет через него.

Стало-быть, закрываем от греха... и крепче спим )
 
Добавлено:
Добавил ссылку в шапку на полезную инфу, дабы не терялось

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 18:44 11-04-2018
Victor_VG



Tracker Mod
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
lex25
KLASS
 
Для списка маловато, но для публичного крипто ключа размер подходящий. Могут просто скинуть через запись A TXT (по спецификации DNS это комментарий) произвольные данные - кэширующий DNS только считывает БД с удалённого DNS, а там локально интерпретировать как угодно. В сам DNS запрос большого объёма данных не засунуть.

----------
Жив курилка! (Р. Ролан, "Кола Брюньон")
Xeon E5 2697v2/C602/128 GB PC3-14900L/GTX 1660 Ti, Xeon E5-2697v2/C602J/128 Gb PC3-14900L/GTX 1660 Ti

Всего записей: 33133 | Зарегистр. 31-07-2002 | Отправлено: 21:05 11-04-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Victor_VG
Черный список разумеется не влезет, но имя+ключик вполне.
Наше дело "стукануть", что стук на сторону, без ведома пользователя, возможен.
Потому инфу в шапке оставляю, а каждый сам сделает выводы.

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 21:37 11-04-2018
gen4gen



Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
А если в исходящем правиле для DNS указать конкретные ip днс-серверов вроде гугловских 8.8.8.8 и 8.8.4.4 и пр.? Спасет ли это от подобных случаев?

Всего записей: 671 | Зарегистр. 19-11-2004 | Отправлено: 23:21 11-04-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
gen4gen
Не поможет.
Второй пост от шапки на этой странице.

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 23:42 11-04-2018
Victor_VG



Tracker Mod
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS
 
UDP дайтограмма DNS должна соответствовать [b]RFC-1034[/b] и RFC-1035 и RFC-6895.  
 
Любой иной вариант DNS запроса будет отброшен ближайшем к клиенту по иерархии сервером DNS как ошибочный и отсылка данных через этот канал возможна только в том случае если первым в цепочке стоит модифицированный DNS который считает нестандартный пакет, извлечёт из него допустимые данные запроса, а дополнительные данные-нагрузку передаст на обработку в другое ПО.  
 
И такую "закладку" надо ставить во все DNS планеты - иначе вероятность того, что данные попадут на нужный вариант сервера стремится к нулю, а модификация DNS  мгновенно вылезет в системе самоконтроля целостности системы DNS и её либо уберут местные админы, либо IETF отключит данный сервер как поддельный и передаст вопрос в полицию. И у горе-админов и хозяев хостинга где размещён модифицированный DNS  мигом появятся проблемы с полицией и судебными властями сразу целой кучи стран. Риск не оправдан, и на него пойдёт разве что самоубийца либо сумасшедший.
 
А сам протокол DNS описан например тут DNS (Domain Name System) (Библитека МВТУ им Баумана), тут DNS (структура, обработка запросов, ресурсные записи) Семенов Ю.А. (ГНЦ ИТЭФ).
 
Правда коли кому хочется изобрести свой DNS - никто не запрещает, но и гарантии что их предложения будут приняты никто не даёт.

----------
Жив курилка! (Р. Ролан, "Кола Брюньон")
Xeon E5 2697v2/C602/128 GB PC3-14900L/GTX 1660 Ti, Xeon E5-2697v2/C602J/128 Gb PC3-14900L/GTX 1660 Ti

Всего записей: 33133 | Зарегистр. 31-07-2002 | Отправлено: 02:02 12-04-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Victor_VG
Не, ну я так глубоко то не залезу за один вечер, но за инфу пасиб.
Другое дело наш, частный пример с Коммандером. Ты можешь его прокомментировать?
Мне неучу "понятно" одно, что левая инфа таки достигает цели
и все через те же "правильные" ДНС?

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 02:29 12-04-2018
Открыть новую тему     Написать ответ в эту тему

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.B0ard
© Ru.B0ard 2000-2024

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru