KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Как видно из описания темы, речь пойдёт о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии, вся "борьба" с которой сводится к отключению/перенастройке почти всех правил Microsoft. Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.   Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности. ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:     Отключаем или удаляем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP) Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик) и Основы сетей - DNS (UDP - исходящий трафик). НЕ ОБЯЗАТЕЛЬНО (на слив телеметрии не влияет, сначала осознайте, для чего вам это нужно): Оставив правило DNS, помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд. Если таки решили это правило отключить и осознали, зачем вам это надо, обязательно отключите службу DNS-клиент. Всё, Интернета нет, как и нет любых других соединений (кроме DHCP и DNS), включая телеметрию. Чтобы убедиться в этом, используйте Wireshark. После такой настройки обновления автоматически устанавливаться не будут. Для систем ниже Windows 10 сначала обновите систему, а потом настраивайте правила брандмауэра. Последующие обновления устанавливайте ручками. Актуальный список обновлений для Windows 10 см. здесь, рекомендации по обновлению Windows 7 SP1 см. здесь. История кумулятивных обновлений для разных версий Windows 10 доступна здесь.   Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. Иначе говоря, будем создавать "белый" список приложений. Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.   Для того чтобы быстро разобраться, какой программе что нужно открыть в брандмауэре, можно использовать приложение Process Hacker. Сборка Process Hacker x86 x64 от Victor_VG или ее русский вариант от KLASS для Windows 10. Вопросы по работе Process Hacker (изучите там шапку). Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" и запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим, к каким портам, удалённым адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения. Для Windows 7 можно воспользоваться набором NetworkTrafficView_russian. Также, в любой системе, для отслеживания можно использовать Process Monitor от Марка Руссиновича (в той же теме все вопросы по настройке программы).   Как добавлять или изменять правила, используя командную строку (команда netsh).   Контекстное меню в проводнике для файлов .EXE, с помощью которого можно добавлять правила в брандмауэр (Shift+ПКМ).   Не лишним будет добавить в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.   Импортируйте свои правила при каждом входе в систему через Планировщик, так как правила от M$ могут быть восстановлены при очередном обновлении.   Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)   Также, для удобства создания правил, есть другой инструмент Windows Firewall Control. Это надстройка, которая работает в области уведомлений на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws, без необходимости переходить в определённые окна настроек брандмауэра.   Еще одна программа для удобства создания правил Firewall App Blocker | FAB.   Включить аудит Платформы фильтрации IP-пакетов   Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell или Netsh   Проверка брандмауэра на наличие уязвимостей   Как запретить или разрешить изменять правила брандмауэра. Утилита SubInACL от Microsoft. Нюансы: 1, 2. На сегодня утилита не поддерживается и была убрана с сайта разработчика. Ищите в других местах: subinacl.exe Size: 290 304 Bytes CRC32: 90B58A75 MD5: 53cdbb093b0aee9fd6cf1cbd25a95077 SHA1: 3b90ecc7b40c9c74fd645e9e24ab1d6d8aee6c2d SHA256: 01a2e49f9eed2367545966a0dc0f1d466ff32bd0f2844864ce356b518c49085c SHA512: 7335474d6a4b131576f62726c14148acf666e9a2ce54128b23fe04e78d366aa5bdf428fe68f28a42c2b08598d46cada447a4e67d530529b3e10f4282513a425f   Ещё раз про "секретные, неотключаемые разрешающие правила" RestrictedServices   Смежные темы: Настройка персональных файерволов (firewall rules) Бесконтрольность Windows 10 Быстрая настройка Windows   Шапку и около-темные вопросы обсуждаем здесь Всего записей: 11448 | Зарегистр. 12-10-2001 | Отправлено: 20:59 05-03-2017 | Исправлено: KLASS, 12:52 08-09-2024

fakel33 Advanced Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Пытаюсь настроить в Windows 10 1607 LTSB брандмауэр. Не могу настроить правило для ping и tracert (ICMP4) - правило создал, а ping выдает что не может обнаружить узел. Всего записей: 1202 | Зарегистр. 22-08-2003 | Отправлено: 19:17 13-01-2018

shadow_member Platinum Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору fakel33 Цитата: В системах Windows 10, 8.1, 7 для пингования внешних адресов нужно разрешить исходящие ICMPv4 и ICMPv6 для System (создать два правила), а не для ping.exe. Возможно, выход System у тебя закрыт другим правилом (запрещающие правила имеют приоритет над разрешающими, расположение правил выше-ниже роли не играет. Осваивай, будет значительно нагляднее и понятнее. Всего записей: 22354 | Зарегистр. 18-07-2006 | Отправлено: 19:57 13-01-2018

fakel33 Advanced Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору shadow_member Спасибо, за совет! Создал правило для ICMPv6 аналогично ICMPv4, но результат тот же. Вот все мои правила (пока). Все остальное работает. Всего записей: 1202 | Зарегистр. 22-08-2003 | Отправлено: 20:15 13-01-2018

fakel33 Advanced Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Убрал в настройке "Основы сетей - DNS (UDP - исходящий трафик)" область -"DNS-серверы" и ping начал работать. Почему не понятно? Всего записей: 1202 | Зарегистр. 22-08-2003 | Отправлено: 22:32 13-01-2018

Valery_Sh Silver Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору YCampas   СтОило бы добавить: на той же машине в приницпе невозможно гарантировать 100% фильтрацию  - это лишь один из "слоёв стенки", предварительный, ткскзть.   Памятуя о том, что в нынешних PCH на материнках свой контроллер с собственным сетевым стеком, говорить о 100% защите брандмауэром в ОС ....   Инфа для размышления тем, кто надеется на фильтрацию по MAC на шлюзе(роутере). Всего записей: 2171 | Зарегистр. 30-06-2008 | Отправлено: 12:54 14-01-2018

KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору YCampas То, что вынь меняет правила при установке обновлений (не при каждой загрузке), это не новость. Делаем импорт своих правил при каждом входе в систему через планировщик. К тому же в шапке сказано Цитата: Не лишним будет добавление в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.   Так как при загрузке, еще до входа в систему, брандмауэр пропускает несколько IP и это тоже не новость. Ну, а при входе в систему, включаем Инет, а правила уже залились свои. На этом все. Всего записей: 11448 | Зарегистр. 12-10-2001 | Отправлено: 13:32 14-01-2018

KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору YCampas Версия ОС и название правила в студию. Вы вообще исходящие отключили полностью? Всего записей: 11448 | Зарегистр. 12-10-2001 | Отправлено: 14:13 14-01-2018

MrFilth Advanced Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору YCampas Цитата: Как вы, люди, не понимаете, что бесполезно в родном виндовом файрволе что-то настраивать Для таких случаев можно использовать Windows Firewall Control так как там имеется защита правил. Если и будет создано заново какое либо правило можно в настройках указать что с ним дальше делать... (удалить или отключить)     Если конечно не жалко до 50 мб озу))   Всего записей: 1149 | Зарегистр. 14-12-2017 | Отправлено: 14:26 14-01-2018 | Исправлено: MrFilth, 14:35 14-01-2018

KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору YCampas Правило то какое у вас восстанавливается? А исходящие надо отключать полностью, все правила тоже (либо удалять) и настраивать фаер под себя. Вы шапку то вообще читали? Всего записей: 11448 | Зарегистр. 12-10-2001 | Отправлено: 14:58 14-01-2018 | Исправлено: KLASS, 14:58 14-01-2018

KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору YCampas Сначала настройте брандмауэр по рекомендациям из шапки, потом свое фи сюда, до тех пор вы оффтопите. У меня нет в фоне сторонних программ и правила от мелких не восстанавливаются при каждой перезагрузке. Даже, если бы и восстанавливались, то уже сказал, при входе в системе через 30 секунд заливаются свои правила. Цитата: Больше нечего обсуждать. Нечего было обсуждать с самого первого вашего поста здесь. Потому замечание и сделано. Всего записей: 11448 | Зарегистр. 12-10-2001 | Отправлено: 15:38 14-01-2018

uncleShi Silver Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Valery_Sh Цитата: Инфа для размышления тем, кто надеется на фильтрацию по MAC на шлюзе(роутере). Как-то там "попахивает желтизной" не над чем размышлять в топике. Лет 15 более 1000 ПК наблюдал, платы сетевые всякие-разные, на каждом порту коммутатора "port-security maximum 1" + жестко прописанный MAC, ничего подобного ни разу. Больше похоже на RAS или ICS у него. P.S. А чтоль есть ещё кто-то, "кто надеется на фильтрацию по MAC" именно в плане секурности? Всего записей: 3049 | Зарегистр. 29-05-2003 | Отправлено: 22:43 14-01-2018

KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору danetz Ну да svchost, в части служб (библиотек dll) DHCP-клиент и DNS-клиент, работающие через 67 и 53 удаленные порты, соответственно. Всего записей: 11448 | Зарегистр. 12-10-2001 | Отправлено: 16:28 15-01-2018

Victor_VG Tracker Mod Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору danetz   Если вы блокируете трафик сервера имён (DNS), то вы теряете возможность использовать символические имена в виде <host>.<domain>.<zone> и для соединения вам придётся указывать IP удалённой машины. Но, можно и нужно ограничить адреса DNS серверов к которым может обращаться ваша машина. Это позволит избежать атаки с подменой DNS. Чтобы посторонний не мог подставить ложный сервер имён нужно избегать  использования символических имён серверов DNS (эту ошибку часто делают неопытные техники при настройке BIND DNS - их логика проста "IP нужных мне DNS я не знаю, но их знает DNS сервер провайдера, потому задам имена DNS как обычных машин и BIND сам разберётся с адресами!") - адреса DNS всегда надо указывать явно в виде списка IP, причём разумнее всего указывать DNS провайдера последним в списке так как его просмотри идёт от начала к концу.   С DHCP проще - указываете IP того DHCP который работает в вашей локальной сети так этот сервис предназначен для настройки машин внутри сети и если вы по ошибке воспользуетесь внешним по отношению к вашей сети DHCP то её работа может стать невозможной. Идея проверки DHCP по IP проста - его IP должен находится в диапазоне IP используемых в вашей сети. Если сеть многосегментная и сегменты соединены через маршрутизаторы, то для снижения риска ошибок настройки используем в каждом сегменте свой DHCP. Выход управления DNS/DHCP за пределы сегмента и локальной  сети в целом в  любом случае должен быть исключён - управление сетью должно осуществляться с одной из машин находящейся во внутреннем контуре сети, а её выход наружу должен осуществляться через цепочку NAT для усложнения задачи взломщика. Всего записей: 34345 | Зарегистр. 31-07-2002 | Отправлено: 17:09 15-01-2018 | Исправлено: Victor_VG, 17:14 15-01-2018

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows

Переход по форумам  Закладки   » Компьютеры Цифровое изображение Программы Microsoft Windows UNIX Другие OS Hardware В помощь сисадмину Прикладное программирование Игры Форумные игры   » Интернет Web-программирование В помощь вебмастеру Графика Хостинг Зацените-ка!   » Тематические Ikonboard v.2 Ikonboard v.3 Invision Board Другие форумы PHP-Nuke и другие порталы Мобила   » Общие Спорт Флейм Темы по региональным встречам Музыка и Кино Юмор Литература и Живопись   » Ru.Board Новости Помощь по форуму   » Андеграунд eBookz Варезник Раздачи и акции Мобильный варезник Андеграунд Игры и фильмы   » Специальные Тестирование