Тонкая настройка брандмауэра Windows - [18] :: Microsoft Windows

Как видно из описания темы, речь пойдёт о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии, вся "борьба" с которой сводится к отключению/перенастройке почти всех правил Microsoft.
Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.
Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности.
ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:

Отключаем или удаляем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP)
Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик)
и Основы сетей - DNS (UDP - исходящий трафик).

НЕ ОБЯЗАТЕЛЬНО (на слив телеметрии не влияет, сначала осознайте, для чего вам это нужно):
Оставив правило DNS, помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд.
Если таки решили это правило отключить и осознали, зачем вам это надо, обязательно отключите службу DNS-клиент.

Всё, Интернета нет, как и нет любых других соединений (кроме DHCP и DNS), включая телеметрию. Чтобы убедиться в этом, используйте Wireshark.
После такой настройки обновления автоматически устанавливаться не будут. Для систем ниже Windows 10 сначала обновите систему, а потом настраивайте правила брандмауэра. Последующие обновления устанавливайте ручками.
Актуальный список обновлений для Windows 10 см. здесь, рекомендации по обновлению Windows 7 SP1 см. здесь.
История кумулятивных обновлений для разных версий Windows 10 доступна здесь.
Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. Иначе говоря, будем создавать "белый" список приложений.
Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.
Для того чтобы быстро разобраться, какой программе что нужно открыть в брандмауэре, можно использовать приложение Process Hacker.
Сборка Process Hacker x86 x64 от Victor_VG или ее русский вариант от KLASS для Windows 10.
Вопросы по работе Process Hacker (изучите там шапку).
Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" и запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим, к каким портам, удалённым адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения.
Для Windows 7 можно воспользоваться набором NetworkTrafficView_russian.
Также, в любой системе, для отслеживания можно использовать Process Monitor от Марка Руссиновича (в той же теме все вопросы по настройке программы).
Как добавлять или изменять правила, используя командную строку (команда netsh).
Контекстное меню в проводнике для файлов .EXE, с помощью которого можно добавлять правила в брандмауэр (Shift+ПКМ).
Не лишним будет добавить в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.
Импортируйте свои правила при каждом входе в систему через Планировщик, так как правила от M$ могут быть восстановлены при очередном обновлении.
Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)
Также, для удобства создания правил, есть другой инструмент Windows Firewall Control.
Это надстройка, которая работает в области уведомлений на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws, без необходимости переходить в определённые окна настроек брандмауэра.
Еще одна программа для удобства создания правил Firewall App Blocker | FAB.
Включить аудит Платформы фильтрации IP-пакетов
Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell или Netsh
Проверка брандмауэра на наличие уязвимостей
Как запретить или разрешить изменять правила брандмауэра. Утилита SubInACL от Microsoft. Нюансы: 1, 2. На сегодня утилита не поддерживается и была убрана с сайта разработчика.
Ищите в других местах:
subinacl.exe
Size: 290 304 Bytes
CRC32: 90B58A75
MD5: 53cdbb093b0aee9fd6cf1cbd25a95077
SHA1: 3b90ecc7b40c9c74fd645e9e24ab1d6d8aee6c2d
SHA256: 01a2e49f9eed2367545966a0dc0f1d466ff32bd0f2844864ce356b518c49085c
SHA512: 7335474d6a4b131576f62726c14148acf666e9a2ce54128b23fe04e78d366aa5bdf428fe68f28a42c2b08598d46cada447a4e67d530529b3e10f4282513a425f
Ещё раз про "секретные, неотключаемые разрешающие правила" RestrictedServices
Смежные темы:
Настройка персональных файерволов (firewall rules)
Бесконтрольность Windows 10
Быстрая настройка Windows
Шапку и около-темные вопросы обсуждаем здесь

LevT
Вы писали:

Цитата:

Кажется, я у вас тут на днях видел как виндовыми средствами заблокировать определённый URL
Напомните, пожалуйста

Тов KLASS написал о файле hosts.
Я - о блокировке в браузере.
Из исходных данных - только ОС семейства windows. Специфика блокировки для формата "http://www.site.com/url". Следовательно я исходил из того, что у вас чистая система и нужны способы для блокировки в ней.
P.S.: универсальный вариант - создать *.pak файл и применить его.
P.P.S.: соответственно программы должны использовать системные настройки proxy.

WildGoblin
1) Перевод, приблизительный:
"Вы не можете предотвратить от использования программой Windows Firewall API для добавления порта (своего, для себя) в список исключений. Если вы хотите это предотвратить, то свяжитесь с поставщиком программы или изучите документацию к программе, чтобы выяснить: есть-ли способ отключения фичи (функции), которая мониторит (прослушивает) входящий трафик. Это может! предотвратить от использования программой Windows Firewall API".
P.S.: для лучшего понимания - слово "использования" замените на "злоупотребление", а "программой" на "будь чем".
P.P.S.: из перевода полезность для пользователя достаточна? Или первое предложение жирным шрифтом выделить?

2)
Цитата:

Что значит "невозможность их инспекции до применения"? Чем вызвана эта "невозможность"?

Хорошо. Подскажите: как проверить добавляемые "программой" правила для брандмауэра до её установки?

3)
Цитата:

"отключение windows firewall api" - серьёзно?]

Почему бы и нет?
Альтернатива (через групповую политику) - есть. Что и для чего добавлять прерогатива конечного пользователя. Всё, необходимое для работы, должно указываться в "документации".
P.S.: если для обновления программе нужно лезть только на определённый сайт, то нечего ей давать полный доступ к сети интернет, только к этому сайту.

4)
Цитата:

Откуда я знаю? Устанавливаю, запускаю - фильтрации трафика нет. В течении нескольких месяцев несколько же раз проверял - фтопку сие поделие.

а) Это портативка, просто распакуйте и запустите от админа.
б) какую версию и на "какой" системе использовали?
P.S.: я брал последнюю стабильную - 1.9.0.0, а использовал на исправленной (батниками от westlife, GP от тов KLASS + настройки брандмауэра от него же, в шапке). Мониторит "firefox", "torrent" и несколько других вполне нормально.
P.P.S.: win 10 ltsb х86 EN
в) readme читали?
г) что значит "фильтрации трафика нет"?
Сначала всё блокируется (кроме существующих правил).
При "необходимости" (программы\"системы") для доступа в интернет появляется уведомление и там принимается решение.
Список заблокированного во вкладке "Log".
Текущих соединений (разрешенного) на вкладке "Connections".
д) вы часом не альфа версию который месяц "проверяете"?
е) вы прочли это:

Цитата:

Можно попросить добавить фичи, сделать форк под себя и закомитить в оригинал, попросить наших форумчан допилить нужное (экспорт\импорт тулза Ratiborus`a - дать сырцы и функционал впилят). По факту - сильно упростит жизнь обычным пользователям и опытным, чтобы не заниматься рутиной в "консоле" (наши батники).

Теперь вопрос: сам интерфейс (при 95% фактической работоспособности) и существующие возможности (новые - добавят) подходят?

P.S.: это просто "свободная" оболочка для существующих команд управления встроенным фаерволом. Единственное предназначение - упрощение работы с ним.
P.P.S.: перепилить - можно, главное определится. Для меня главные критерии: сам (это gui для моих\мною просмотренных команд), функционально, быстро, просто.

5) Есть надстройка для встроенного фаера WFC - лучше ей внимание уделить ибо оно полностью рабочее, развивается вполне себе хорошо, есть форум поддержки.
а) это freeware, а что с популярным freeware софтом в последнее время случается... (utorrent, ccleaner...);
б) инспектировать каждую новую версию на всякие "подводные камни" как-то. (тут выбрал максимально стабильную и "портируеш" только багфиксы);
в) главный функционал для обычного пользователя - уведомления. Тут он платный;
г) "развивается вполне себе хорошо, есть форум поддержки". аналогично и WFN + можно самому допиливать;
д) насчёт "полностью рабочее" - msi afterburner + riva tuner. проблемы на последних страницах форума.

Модерирует : KLASS, IFkO
Версия для печати • Подписаться • Добавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123