Перейти из форума на сайт.

Новости • Файловые архивы
Поиск • Активные темы • Топ лист
Правила • Кто в on-line?
Вход • Забыли пароль? • Первый раз на этом сайте? • Регистрация
Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows

Модерирует : KLASS, IFkO

 Версия для печати • Подписаться • Добавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122

Открыть новую тему     Написать ответ в эту тему

KLASS



Moderator		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
  • Как видно из описания темы, речь пойдёт о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии, вся "борьба" с которой сводится к отключению/перенастройке почти всех правил Microsoft.
    Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.
     
  • Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности.
    ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:
       
    Отключаем или удаляем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP)
    Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик)
    и Основы сетей - DNS (UDP - исходящий трафик).

    НЕ ОБЯЗАТЕЛЬНО (на слив телеметрии не влияет, сначала осознайте, для чего вам это нужно):
    Оставив правило DNS, помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд.
    Если таки решили это правило отключить и осознали, зачем вам это надо, обязательно отключите службу DNS-клиент.

    Всё, Интернета нет, как и нет любых других соединений (кроме DHCP и DNS), включая телеметрию. Чтобы убедиться в этом, используйте Wireshark.
    После такой настройки обновления автоматически устанавливаться не будут. Для систем ниже Windows 10 сначала обновите систему, а потом настраивайте правила брандмауэра. Последующие обновления устанавливайте ручками.
    Актуальный список обновлений для Windows 10 см. здесь, рекомендации по обновлению Windows 7 SP1 см. здесь.
    История кумулятивных обновлений для разных версий Windows 10 доступна здесь.
     
  • Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. Иначе говоря, будем создавать "белый" список приложений.
    Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.
     
  • Для того чтобы быстро разобраться, какой программе что нужно открыть в брандмауэре, можно использовать приложение Process Hacker.
    Сборка Process Hacker x86 x64 от Victor_VG или ее русский вариант от KLASS для Windows 10.
    Вопросы по работе Process Hacker (изучите там шапку).
    Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" и запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим, к каким портам, удалённым адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения.
    Для Windows 7 можно воспользоваться набором NetworkTrafficView_russian.
    Также, в любой системе, для отслеживания можно использовать Process Monitor от Марка Руссиновича (в той же теме все вопросы по настройке программы).
     
  • Как добавлять или изменять правила, используя командную строку (команда netsh).
     
  • Контекстное меню в проводнике для файлов .EXE, с помощью которого можно добавлять правила в брандмауэр (Shift+ПКМ).
     
  • Не лишним будет добавить в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.
     
  • Импортируйте свои правила при каждом входе в систему через Планировщик, так как правила от M$ могут быть восстановлены при очередном обновлении.
     
  • Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)
     
  • Также, для удобства создания правил, есть другой инструмент Windows Firewall Control.
    Это надстройка, которая работает в области уведомлений на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws, без необходимости переходить в определённые окна настроек брандмауэра.
     
  • Еще одна программа для удобства создания правил Firewall App Blocker | FAB.
     
  • Включить аудит Платформы фильтрации IP-пакетов
     
  • Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell или Netsh
     
  • Проверка брандмауэра на наличие уязвимостей
     
  • Как запретить или разрешить изменять правила брандмауэра. Утилита SubInACL от Microsoft. Нюансы: 1, 2. На сегодня утилита не поддерживается и была убрана с сайта разработчика.
    Ищите в других местах:
    subinacl.exe
    Size: 290 304 Bytes
    CRC32: 90B58A75
    MD5: 53cdbb093b0aee9fd6cf1cbd25a95077
    SHA1: 3b90ecc7b40c9c74fd645e9e24ab1d6d8aee6c2d
    SHA256: 01a2e49f9eed2367545966a0dc0f1d466ff32bd0f2844864ce356b518c49085c
    SHA512: 7335474d6a4b131576f62726c14148acf666e9a2ce54128b23fe04e78d366aa5bdf428fe68f28a42c2b08598d46cada447a4e67d530529b3e10f4282513a425f
     
  • Ещё раз про "секретные, неотключаемые разрешающие правила" RestrictedServices
     
  • Смежные темы:
    Настройка персональных файерволов (firewall rules)
    Бесконтрольность Windows 10
    Быстрая настройка Windows
     
  • Шапку и около-темные вопросы обсуждаем здесь
Всего записей: 11448 | Зарегистр. 12-10-2001 | Отправлено: 20:59 05-03-2017 | Исправлено: KLASS, 12:52 08-09-2024
aliv



Member		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
MR_DesigneR
WildGoblin
 
Да обычное использование отдельностоящего ноута девелопера + инет, офис.
Никаких доменов и сетевых виндовых обменов.
Далее, чтобы:
 - никаких автоматических обновлений мне не впаривало,
 - никаких клавиатурных логов, платежных карт не утекало никуда
 - никакой статистики, что стоит в системе и какие действия происходят никуда не отправлялось
 - никакие голосовые кортаны мне не нужны
 - и снаружи ничего не пролазило (тупо закрыть все порты снаружи)
 
Подозреваю, что это обычные требования вдумчивого человека, который пока еще использует Windows, но при этом не работает в домене и нет необходимости пользоваться локальной сетью от МС.
 
А что еще люди настраивают, кроме firewall?
Политики для чего конфигурить как-то серьезно на отдельностоящем ноуте?
Всего записей: 264 | Зарегистр. 23-04-2003 | Отправлено: 16:20 13-07-2017 | Исправлено: aliv, 16:20 13-07-2017
MR_DesigneR



Platinum Member		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
aliv

Цитата:
олитики для чего конфигурить как-то серьезно на отдельностоящем ноуте?

Ну, там же в статье есть пункт для корпоративщиков - Безопастность 0.
Ссылка
 
Всего записей: 14549 | Зарегистр. 06-09-2014 | Отправлено: 16:22 13-07-2017 | Исправлено: MR_DesigneR, 16:36 13-07-2017
WildGoblin



Ru-Board Member		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
aliv

Цитата:
Далее, чтобы
Куда проще - запретите всё, а затем разрешите только то, что действительно нужно.

Цитата:
А что еще люди настраивают, кроме firewall?
Сейчас по быстрому вам страницах на ста пятидесяти кратенько напишем!
 
А если без шуток, то MR_DesigneR дал вам очень хорошую ссылку - читайте внимательно и настраивайте.
Всего записей: 32263 | Зарегистр. 15-09-2001 | Отправлено: 16:54 13-07-2017
KLASS



Moderator		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
aliv
Свистелки и перделки пишут и стучат, но стучит не только отключенное или вырезанное, потому
тема та уже не актуальна. Как сказали выше, можно просто перекрыть все брандмауэром и никуда более не лазать. Если же шуршание винтами, запись на раздел с системой и прочая движуха в компе без вашего на то согласия утомляет\мешает (скажем, мне лично, при включенном UWF, запись на раздел с системой совершенно ни к чему), то лезем в настройки ГП, отключаем задания в планировщике, правим реестр, отключая все, в чем (заботе Майкрософт) пользователь не нуждается. После всех манипуляций получаем ОС для нужд пользователя. Как то так В той теме внес поправку в шапку.
 
Добавлено:

Цитата:
А что еще люди настраивают, кроме firewall?

Изучайте шапку и тему, она еще не слишком велика.
Всего записей: 11448 | Зарегистр. 12-10-2001 | Отправлено: 11:00 14-07-2017 | Исправлено: KLASS, 14:27 14-07-2017
aliv



Member		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS
Вот за это спасибо!!! Понял разницу. Да, мне все это нужно. И отключение лишних функций системы и прочую движуху. Но начну с firewall.
 
Единственное, что пока не понял - никто еще не сделал каких-то батничков и примеров файлов с правильными правилами firewall под все, что нужно (типа офис, инет и прочие разные вещи)?
Ну типа, чтобы поставил чистую системы, накатил все за пару минут и живем счастливо.
 
И еще один вопрос - как быть с обновлениями? При "правильных" (отключаем все, что нам не нужно) настройках firewall, политик, сервисов и прочего - можно просто оставить обновления в ручном режиме, но ставить практически все без разбору? Или все таки какие-то особенности тоже есть в обновлениях и нужно что-то где-то читать и руками фильтровать?
Всего записей: 264 | Зарегистр. 23-04-2003 | Отправлено: 12:50 14-07-2017
KLASS



Moderator		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
aliv

Цитата:
никто еще не сделал каких-то батничков

Батник изначальный от westlife архив AutoSettings, вот в него и суем свое, тему я дал.
Настроить свои правила в брандмауэре, начав с изучения местной шапки,
а потом импортировать их через указанный батник. У самого импорт также
выполняется при каждом входе в систему через планировщик, потому как
после обновлений правила практически всегда изменяются.

Цитата:
как быть с обновлениями?

Ставить ручками, тем более, что в 10 они кумулятивные.
Сам давно работаю по такой схеме:
1. Установка системы и настройка ее батником\файлами_реестра\PowerShell
2. Создание образа системными средствами. Это, скажем, эталон.
3. Раз в месяц\два\три (когда как) смотрю "Журнал обновлений Windows 10"
и скачиваю обновы из каталога там же и обновы для Flash.
4. Раскатываю эталонный образ и накатываю очередное кумулятивное обновление, при этом система не пухнет
от накатывания обнов друг на друга, стало-быть, чисткой системы не занимаюсь вовсе.
5. Добавляю настройки, которых нет в эталоне. Можно добавить настройки и сделать новый эталон, но до накатывания обнов.
 
Добавлено:
PS В системе нет ничего, кроме офиса и дров. Остальное все портативное. Если у кого есть спец-софт,
который низя сделать портативным, стало-быть, заносим его в эталон.
Всего записей: 11448 | Зарегистр. 12-10-2001 | Отправлено: 13:26 14-07-2017 | Исправлено: KLASS, 14:17 14-07-2017
aliv



Member		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS
Да, это тему видел. И про изначальный батник тоже прочитал. А есть ли где-то ваш батник расширенный со всем, что описано вами в указанной теме?
 
И, кстати, skype и много чего другого тоже, я так понимаю, надо ставить изначально, так как portable версии нет.
Всего записей: 264 | Зарегистр. 23-04-2003 | Отправлено: 14:44 14-07-2017 | Исправлено: aliv, 14:57 14-07-2017
KLASS



Moderator		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
aliv
6. Обработка батником системы с обновами. Очень важен пункт после установки обнов
"Обслуживание=>Выполнить генерацию образов NET Framework для программ" иначе
"достанет" TiWorker.exe шурша винтами и нагружая не по-детски проц, а если учесть, что
у меня включен UWF, то шуршать будет всегда после перезагрузки

Цитата:
А есть ли где-то ваш батник расширенный со всем

В шапке той темы все и лежит, вырезанное свое (пароли, явки), только не батник,
а добавляемые команды и рег-файлы. westlife добавил возможность добавления команд в свой,
отдельный батник MySettings.bat, а сами команды или вопросы типа:
Как в CMD\PowerShell\рег-фалом изменить ту или иную настройку?
там и вываливаем\задаем. В итоге, каждый выберет для себя нужное и у каждого будет свой такой батник.
Низя угодить сразу фсем

Цитата:
И, кстати, skype

Скайп не в этой теме обсуждаем (пожалуйста, придерживайтесь правил форума),
к тому же он изначально портативный, если извлечь .msi и запускать его из батника с именем
погоняла в скайпе, например:

Код:
set pass=ВАШ_ПАРОЛЬ
if not exist %~n0 md %~n0
start "" skype.exe /secondary /datapath:%~n0 /removable /nosplash /minimized /username:%~n0 /password:%pass%
Всего записей: 11448 | Зарегистр. 12-10-2001 | Отправлено: 15:07 14-07-2017
aliv



Member		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Раз в месяц\два\три (когда как) смотрю "Журнал обновлений Windows 10"  
и скачиваю обновы из каталога там же и обновы для Flash.  

 
KLASS
 
Вот сейчас для Windows 10 версии 1607 последнее обновление KB4022723. Я правильно понимаю, что это куммулятивное обновление, в котором содержатся все предыдущие и сейчас достаточно его поставить? Спасибо.
Всего записей: 264 | Зарегистр. 23-04-2003 | Отправлено: 00:46 15-07-2017 | Исправлено: aliv, 00:50 15-07-2017
KLASS



Moderator		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
aliv
Да. Обновления, обсуждаем здесь. Подпишитесь на тему и будете в курсе, например, в шапке той темы есть ссылка Актуальный список... перейдя по которой, вы узнаете, что уже есть июльское на 1607, которое еще не опубликовано у мелких в Журнале обновлений
Здесь обсуждаем настройку брандмауэра, остальное в профильных темах.
Всего записей: 11448 | Зарегистр. 12-10-2001 | Отправлено: 10:44 15-07-2017
shadow_member



Platinum Member		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
aliv
Цитата:
Вот сейчас для Windows 10 версии 1607 последнее обновление KB4022723.
Предпоследнее. Последнее- KB4025339.
Всего записей: 22354 | Зарегистр. 18-07-2006 | Отправлено: 17:51 15-07-2017
aliv



Member		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Спасибо за ответы.
Я пока отрубил firewall по умолчанию, выключил dnscache и настроит себе пару правил для работы: DHCP, DNS, Chrome. При этом всплыли такие штуки:
  • DNS_PROBE_FINISHED_NXDOMAIN в Chrome
  • или крутится прогресс и ничего не происходит

Process Hacker при этом показывает вот такие строчки:
  • System, DROP, Out, Port Scanning Prevention Filter, ...., , ...., , 53
  • System, DROP, Out, Query User , ...., , ...., , 443

 
Я вот не могу понять "сходу", а что это за правила такие "Port Scanning Prevention Filter" и "Query User". У меня в правилах такого нет. Откуда они берутся?
 
И еще, есть такие наблюдения в Process Hacker:
 
Chrome, ALLOW, In, Interface Un-quarantine filter, IPv6 address, IPv6 address, 5353
 
Это интересно, почему это firewall пропускает, несмотря на отсутствие каких-либо подобных правил?
Всего записей: 264 | Зарегистр. 23-04-2003 | Отправлено: 12:36 16-07-2017 | Исправлено: aliv, 12:57 16-07-2017
Valery_Sh



Silver Member		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
aliv

Цитата:
Это интересно, почему это firewall пропускает, несмотря на отсутствие каких-либо подобных правил?
Может потому, что он есть в дефолтных?
mDNS
Всего записей: 2171 | Зарегистр. 30-06-2008 | Отправлено: 15:03 16-07-2017
aliv



Member		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Valery_Sh
Про Chrome и порт 5353 - согласен, он есть в правиле, которое создал Chrome (я стормозил).
А вот про те DROP выше - почему так происходит?
Точнее - есть идеи, как аккуратно открыть это для некоторых сервисов svchost или System, чтобы и зверя не выпустить, и настроить работу браузеров без лагов?
Всего записей: 264 | Зарегистр. 23-04-2003 | Отправлено: 15:44 16-07-2017
WildGoblin



Ru-Board Member		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
aliv

Цитата:
Точнее - есть идеи, как аккуратно открыть это для некоторых сервисов svchost или System, чтобы и зверя не выпустить, и настроить работу браузеров без лагов?
А зачем вам что-то открывать для svchost вы же отключили у себя dnscache (это ведь вы так системный dns-клиент назвали - я правильно понял?)?
 
А для браузера - открыть исходящие соединение UDP на 53-й порт и все исходящие на TCP - такой вот базис.
Всего записей: 32263 | Зарегистр. 15-09-2001 | Отправлено: 16:02 16-07-2017
aliv



Member		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
WildGoblin
Да, в прошлый раз я удалил все правила firewall и выполнил вот это из шапки:
 
"Теперь обязательно остановите и отключите службу Dnscache (DNS-клиент), для этого выполните команды от имени администратора:  
net stop Dnscache  
sc config Dnscache start= disabled"
 
После этого разрешил Out запросы на 53 порт (DNS) + DHCP + разрешил Chrome ходить по TCP на 80 и 443 порты.
После этого Chrome заработал, но бывают иногда глюки, описанные выше.
 
 
Вот переставил систему еще раз и вместо того, чтобы удалять все правила файрвола, просто запретил все существующие правила.
Сервсис Dnscache (он же DNS Client) НЕ останавливал.
При этом, несмотря на то, что вот такие правила, которые были по умолчанию, в файрволе я разрешил:
Core Networking - DNS (UDP Out)
Core Networking - Dynamic Host Configuration Protocol (DHCP-Out)
Core Networking - Dynamic Host Configuration Protocol (DHCP-In)
 
+ разрешил Chrome ходить по TCP на 80 и 443 порты.
Chrome пишет, что нет соединения с Интернет.
 
Странно. И зачем останавливать сервис Dns Client?
 
p.s. С хромом на второй машине разобрался - там была ошибка в правиле, хождение на порты было не Out, а In.
Но в Хакере все равно ничего не видно на второй машинке - ищу проблему.
Всего записей: 264 | Зарегистр. 23-04-2003 | Отправлено: 23:54 16-07-2017 | Исправлено: aliv, 00:31 17-07-2017
KLASS



Moderator		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
aliv

Цитата:
Странно. И зачем останавливать сервис Dns Client?

Чем меньше от Мелких ходит наружу, тем сон крепче... или есть соображения?
Запускайте Хакера и программу, там же все видно, куда ломится... давайте доступ.
Всего записей: 11448 | Зарегистр. 12-10-2001 | Отправлено: 00:10 17-07-2017 | Исправлено: KLASS, 00:12 17-07-2017
bomzz

Silver Member		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
днс клиент останавливают чтоб избежать постоянных ошибок кеша
Всего записей: 3523 | Зарегистр. 29-03-2016 | Отправлено: 00:22 17-07-2017
aliv



Member		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Чем меньше от Мелких ходит наружу, тем сон крепче... или есть соображения?  
Запускайте Хакера и программу, там же все видно, куда ломится... давайте доступ.

 
Согласен, про мелкомягких.
Есть две машинки с чистой 10-й виндой.
Ищу проблему у себя - Хакер ничего не показывает, вообще нет красных строчек.
 
Добавлено:
bomzz

Цитата:
днс клиент останавливают чтоб избежать постоянных ошибок кеша

Если правилом для сервиса dnscache через svchost разверешить ходить на 53 порт, какие будут ошибки кеша?
Всего записей: 264 | Зарегистр. 23-04-2003 | Отправлено: 00:27 17-07-2017 | Исправлено: aliv, 00:30 17-07-2017
Valery_Sh



Silver Member		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
aliv

Цитата:
Если правилом для сервиса dnscache через svchost разверешить ходить на 53 порт, какие будут ошибки кеша?

Да никаких. На роутерах, кстати, тоже крутится кэширующий dnsmasq или аналог.
Всего записей: 2171 | Зарегистр. 30-06-2008 | Отправлено: 02:56 17-07-2017
Открыть новую тему     Написать ответ в эту тему

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.B0ard
© Ru.B0ard 2000-2024

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru