KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Как видно из описания темы, речь пойдёт о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии, вся "борьба" с которой сводится к отключению/перенастройке почти всех правил Microsoft. Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.   Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности. ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:     Отключаем или удаляем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP) Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик) и Основы сетей - DNS (UDP - исходящий трафик). НЕ ОБЯЗАТЕЛЬНО (на слив телеметрии не влияет, сначала осознайте, для чего вам это нужно): Оставив правило DNS, помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд. Если таки решили это правило отключить и осознали, зачем вам это надо, обязательно отключите службу DNS-клиент. Всё, Интернета нет, как и нет любых других соединений (кроме DHCP и DNS), включая телеметрию. Чтобы убедиться в этом, используйте Wireshark. После такой настройки обновления автоматически устанавливаться не будут. Для систем ниже Windows 10 сначала обновите систему, а потом настраивайте правила брандмауэра. Последующие обновления устанавливайте ручками. Актуальный список обновлений для Windows 10 см. здесь, рекомендации по обновлению Windows 7 SP1 см. здесь. История кумулятивных обновлений для разных версий Windows 10 доступна здесь.   Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. Иначе говоря, будем создавать "белый" список приложений. Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.   Для того чтобы быстро разобраться, какой программе что нужно открыть в брандмауэре, можно использовать приложение Process Hacker. Сборка Process Hacker x86 x64 от Victor_VG или ее русский вариант от KLASS для Windows 10. Вопросы по работе Process Hacker (изучите там шапку). Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" и запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим, к каким портам, удалённым адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения. Для Windows 7 можно воспользоваться набором NetworkTrafficView_russian. Также, в любой системе, для отслеживания можно использовать Process Monitor от Марка Руссиновича (в той же теме все вопросы по настройке программы).   Как добавлять или изменять правила, используя командную строку (команда netsh).   Контекстное меню в проводнике для файлов .EXE, с помощью которого можно добавлять правила в брандмауэр (Shift+ПКМ).   Не лишним будет добавить в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.   Импортируйте свои правила при каждом входе в систему через Планировщик, так как правила от M$ могут быть восстановлены при очередном обновлении.   Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)   Также, для удобства создания правил, есть другой инструмент Windows Firewall Control. Это надстройка, которая работает в области уведомлений на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws, без необходимости переходить в определённые окна настроек брандмауэра.   Включить аудит Платформы фильтрации IP-пакетов   Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell или Netsh   Проверка брандмауэра на наличие уязвимостей   Как запретить или разрешить изменять правила брандмауэра. Утилита SubInACL от Microsoft. Нюансы: 1, 2. На сегодня утилита не поддерживается и была убрана с сайта разработчика. Ищите в других местах: subinacl.exe Size: 290 304 Bytes CRC32: 90B58A75 MD5: 53cdbb093b0aee9fd6cf1cbd25a95077 SHA1: 3b90ecc7b40c9c74fd645e9e24ab1d6d8aee6c2d SHA256: 01a2e49f9eed2367545966a0dc0f1d466ff32bd0f2844864ce356b518c49085c SHA512: 7335474d6a4b131576f62726c14148acf666e9a2ce54128b23fe04e78d366aa5bdf428fe68f28a42c2b08598d46cada447a4e67d530529b3e10f4282513a425f   Ещё раз про "секретные, неотключаемые разрешающие правила" RestrictedServices   Смежные темы: Настройка персональных файерволов (firewall rules) Бесконтрольность Windows 10 Быстрая настройка Windows   Шапку и около-темные вопросы обсуждаем здесь Всего записей: 11112 | Зарегистр. 12-10-2001 | Отправлено: 20:59 05-03-2017 | Исправлено: WildGoblin, 13:05 15-06-2022

Victor_VG Tracker Mod Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору zaqiklop   Ну по ritlabs.com вот вам всё, что мне DNS про него сказала. В доменной записи TEXT только указанная RFC 1035 информация - почта и ключ верификации домена выдаваемый центром сертификации, и формат ключа spf1. Я тут не вижу посторонних данных, но побанить для мыша все адреса из A и NS записей можно, да и вреда не будет.   В общем вот какой фокус проделали ритлабовцы:   № записи домен тип записи хост IP Данные     1 manual.thebat.productversion.ritlabs.com NS Error 9501: No records found for given DNS     2 manual.thebat.productversion.ritlabs.com MX Error 9501: No records found for given DNS     3 manual.thebat.productversion.ritlabs.com A Error 9501: No records found for given DNS     4 manual.thebat.productversion.ritlabs.com AAAA Error 9501: No records found for given DNS     5 manual.thebat.productversion.ritlabs.com CNAME Error 9501: No records found for given DNS     6 manual.thebat.productversion.ritlabs.com SOA Error 9501: No records found for given DNS     7 manual.thebat.productversion.ritlabs.com SRV Error 9501: No records found for given DNS     8 manual.thebat.productversion.ritlabs.com TEXT текущая версия The Bat!   реального хоста с таким именем не существует (ошибка 9501 в ответе их DNS и пустые поля ХОСТ и IP для данной системы), но в базах их DNS для него есть запись типа TEXT где и пишется номер текущей версии. Ладно, попробуйте заблокировать The Bat! доступ по адресам (записи NS, строки 1 - 6 в спойлере DNS) их DNS по порту 53, все протоколы - возможно, что он не полезет читать с них ТЕХТ через другие сервера системы иначе вам придётся ставить локальный DNS и копировать в его зоны MX записи для всех используемых вами почтовых серверов.   ---------- Жив курилка! (Р. Ролан, "Кола Брюньон") Xeon E5 2697v2/C602/128 GB PC3-14900L/GTX 1660 Ti, Xeon E5-2697v2/C602J/128 Gb PC3-14900L/GTX 1660 Ti Всего записей: 33210 | Зарегистр. 31-07-2002 | Отправлено: 01:35 16-09-2019 | Исправлено: Victor_VG, 02:42 16-09-2019

shadow_member Platinum Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Цитата: Создал для svchost запрещалки с указанием службы, а Windows Firewall Control для них дальше всплывающие окна показывает, будто и нет никаких правил.   Разработчик WFC высказывался, что такие правила работают в Win7, но не работают в Win8-Win10. Всего записей: 22354 | Зарегистр. 18-07-2006 | Отправлено: 09:06 16-09-2019

Valery_Sh Silver Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору zaqiklop Цитата: Фаерволом тут не блокануть, значит попёр оффтоп. Кажется, вопрос по существу с самого начала должен был звучать как-то типа "можно ли через фаервол запретить программе читать DNS-record'ы определённого типа", но когда я писал тот пост ещё сам не разбирал что к чему.   Не заблочить конкретно по IP. Нужен анализ пакета как выше рисовал (iptables). Такой себе miniDPI. Просто штатный виндовый это не умеет. Может какой стронний сможет. Всего записей: 2171 | Зарегистр. 30-06-2008 | Отправлено: 11:33 16-09-2019

KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Caravelli Цитата: А мне приходится, кратковременно включать dns, во время не частых обновлений. Вот тут всякая нечисть и лезет кратковременно в инет. Пример нечисти приведите, пожалуйста, которая лезет в Инет при включении DNS. Потом, я же сказал ранее (в теме по Win10), что обновляться ручками, коль все заткнули в брандмауэре. Цитата: Потому соглашаюсь с summoner75 в части защиты буфера обмена Защиты от чего, от уплывания информации через DNS? Цитата: В сам DNS запрос большого объёма данных не засунуть А суют туда данные (свои, а не ваш буфер обмена) некоторые сторонние программы, об этом в шапке в подразделе НЕ ОБЯЗАТЕЛЬНО   Добавлено: Потом, не суйте в буфер обмена ничего (или очистите его, скопировав в буфер fuck индусы), когда включаете DNS и обновляете систему. Обновились, перезагрузку система сама предложит, вошли в систему и отключили DNS. Или я чего не понял? Всего записей: 11112 | Зарегистр. 12-10-2001 | Отправлено: 09:41 24-09-2019 | Исправлено: KLASS, 10:34 24-09-2019

Caravelli Silver Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору KLASS Цитата: обновляться ручками, коль все заткнули в брандмауэре. Не знаю, как обстоят дела в брандмауэре Windows 10 с блокировкой svchost при подключении dns, но в стороннем - никак, вот некоторая часть (этой нечисти ) сразу лезет в инет. Всё это хорошо видно в Мониторе ресурсов на вкладке Сеть или в Просмотре событий стороннего брандмауэре. Цитата: Потом, не суйте в буфер обмена ничего (или очистите его А человеческий фактор в расчет не берем? Забыл например. PS Цитата: А суют туда данные (свои, а не ваш буфер обмена) некоторые сторонние программы Если уж быть совсем параноиком , то не удивлюсь узнав, что что-то родное где-то накапливает какую-то информацию и при первой же возможности сливает её. Так, мысли вслух. Можно не обращать внимание. Ибо, что можно стянуть с моего компа уже стянуто. Терять уже нечего. Всего записей: 2154 | Зарегистр. 01-12-2009 | Отправлено: 11:10 24-09-2019

KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Caravelli Цитата: как обстоят дела в брандмауэре Windows 10 с блокировкой svchost Если вы все заткнули, то никакой svchost ничего не отправит даже после включения DNS, потому как Цитата: В сам DNS запрос большого объёма данных не засунуть . Ну есть соединение, так это DNS-запрос и не более. Кол-во отправляемой инфы ничтожно мало и не тянет на слив ваших данных. Включайте DNS и работайте, проблема лишь в подразделе НЕ ОБЯЗАТЕЛЬНО. А вот, если вы используете автоматическое обновление системы, которое до сих пор не отключено, то слив обеспечен. Цитата: что что-то родное где-то накапливает какую-то информацию и при первой же возможности сливает её. То родное не сможет отправить через разрешенное правило DNS по причине указанной выше. Всего записей: 11112 | Зарегистр. 12-10-2001 | Отправлено: 11:24 24-09-2019

Caravelli Silver Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору KLASS Цитата: Если вы все заткнули, то никакой svchost ничего не отправит Я правильно вас понял? В брандмауэре Windows 10 можно заткнуть любой процесс svchost? А как понимать этот ответ от shadow_member? Всего записей: 2154 | Зарегистр. 01-12-2009 | Отправлено: 15:29 24-09-2019

KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Caravelli По любой службе (по отдельности) не ведаю, так как правила отдельно по службам не настраивал, т.е. заткнуто сначала, как написано в шапке-всё. На другом компе правда разрешен DNS, дабы не создавать отдельные правила DNS для каждого приложения. DHCP-разрешен. Потихоньку двигаемся дальше. Если сеть нужна, то разрешаем те правила, которые автоматом сыпятся, когда первый раз обращаемся к папке Сеть и соглашаемся включить сетевое обнаружение и общий доступ, с обязательной проверкой, чтобы у всех тех правил Удаленный адрес был Локальная подсеть, потом разрешаем ходить программам, ну и т.д. В любом случае, каждый, настроив свои правила, может взять Акулу и проверить, задав в фильтре адреса (локальные), которые Акула не должна отображать. И вот, если после настройки правил Акула выдаст адрес, который у вас перекрыт, то тогда бейте тревогу, ну а не выдаст, стало-быть, все настроено верно и никакие svchost'ы никуда не лазят. Всего записей: 11112 | Зарегистр. 12-10-2001 | Отправлено: 16:23 24-09-2019 | Исправлено: KLASS, 16:35 24-09-2019

Caravelli Silver Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору KLASS Цитата: По любой службе (по отдельности) не ведаю, так как правила отдельно по службам не настраивал, т.е. заткнуто сначала, как написано в шапке-всё. Понятно. Ничего выдающегося в брандмауэре Windows 10 для себя не вижу. Позвольте откланяться. Всего записей: 2154 | Зарегистр. 01-12-2009 | Отправлено: 17:46 24-09-2019

KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Caravelli Зачем настраивать выход отдельных служб в свет, скажем, сторонним брандмауэром? Закрывать так наглухо все от Мелких или чего не ведаю? Всего записей: 11112 | Зарегистр. 12-10-2001 | Отправлено: 18:46 24-09-2019

Caravelli Silver Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору KLASS Цитата: Зачем настраивать выход отдельных служб в свет, скажем, сторонним брандмауэром? Так не все же службы рвутся в свет. А мой сторонний не умеет это делать, вот и подумалось, что может брандмауэр Windows 10 круче. Цитата: или чего не ведаю? Для работы встроенной песочницы требуется запуск dns-клиента и, соответственно, для работы сетевых приложений разрешение dns в правиле для svchost. А мне это надо? Всего записей: 2154 | Зарегистр. 01-12-2009 | Отправлено: 19:10 24-09-2019

KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Caravelli Цитата: вот и подумалось, что может брандмауэр Windows 10 круче А вы попробовали службу настроить в нем? И что-не работает\пропускает? Цитата: разрешение dns в правиле для svchost. А мне это надо? Для отдельно взятого приложения создать правило DNS, не? Потом, ничего страшного в DNS нет, выше же говорили, что на слив не влияет. Всего записей: 11112 | Зарегистр. 12-10-2001 | Отправлено: 19:43 24-09-2019 | Исправлено: KLASS, 19:47 24-09-2019

Caravelli Silver Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору KLASS Цитата: Для отдельно взятого приложения создать правило DNS, не? При включенном dns-клиенте, правила dns для приложений идут в сад. Эти приложения уже смотрят на правило dns в svchost. Ну и при разрешенном правиле дружно лезут в свет и нужные приложения и не нужные. А блочить удаленные адреса в правилах для svchost не благодарное дело. Как-то так.   Добавлено: Цитата: А вы попробовали службу настроить в нем? Нет, не пробовал. А эффект есть? Всего записей: 2154 | Зарегистр. 01-12-2009 | Отправлено: 20:05 24-09-2019 | Исправлено: Caravelli, 20:09 24-09-2019

KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Caravelli Цитата: При включенном dns-клиенте, правила dns для приложений идут в сад.   Цитата: для работы сетевых приложений разрешение dns в правиле для svchost Не понял. Если отключить правило DNS вместе со службой, чтобы не давать svchost вообще выход, то создаем правила для каждого приложения, которому нужна сеть. Цитата: Нет, не пробовал. А эффект есть? Выше говорил уже, сам то я затыкаю все.   ==================================================== К разговору не относится. То ли в этой теме, то ли в теме по 10 встречается народ, кто не верит, что можно доверять местному брандмауэру, мол брандмауэр от Микрософт, что надо пропустит. Пока суть да дело снял фильм про то, что местный брандмауэр "своих" не пропускает. Смотреть можно прямо в ЯДиске. https://yadi.sk/i/nf1oWIj0D5p0Gg Всего записей: 11112 | Зарегистр. 12-10-2001 | Отправлено: 20:17 24-09-2019

Caravelli Silver Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору KLASS Цитата: Если отключить правило DNS вместе со службой, чтобы не давать svchost вообще выход, то создаем правила для каждого приложения, которому нужна сеть. Если же включить службу DNS, то созданные правила выходят в сеть только при разрешенном dns в svchost и не обращают внимание на правила dns в самих приложения. А если dns в svchost разрешен, можно считать что брандмауэра и нет, ибо я не имею возможности запретить отдельно взятым процессам svchost выход в свет. С отключенной-то службой DNS всё красиво. Почему придется включать службу dns-клиента, я уже написал. Короче. У меня так. Как в других брандмауэрах, не знаю. Думаю, также. Всего записей: 2154 | Зарегистр. 01-12-2009 | Отправлено: 20:43 24-09-2019

KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Caravelli Цитата: ибо я не имею возможности запретить отдельно взятым процессам svchost выход в свет. Этого делать и не надо, потому как разрешен только 53 порт DNS-запрос. Это же легко проверить той же Акулой. Всего записей: 11112 | Зарегистр. 12-10-2001 | Отправлено: 20:51 24-09-2019

neZlodey Advanced Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Caravelli Цитата: Так не все же службы рвутся в свет. А мой сторонний не умеет это делать, вот и подумалось, что может брандмауэр Windows 10 круче 1. Посмотреть список запущенных служб от svchost.exe: Код: tasklist /svc 2. Вывести в текстовый файл: Код: tasklist /svc > C:\svclist.txt 3. Разрешить, например: Код: Dhcp,W32Time 4. Запретить всё остальное... Всего записей: 1651 | Зарегистр. 02-02-2009 | Отправлено: 21:39 24-09-2019

Caravelli Silver Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору neZlodey Цитата: 3. Разрешить, например:Код: Dhcp,W32Time Т.е. вы, например, создаете разрешающее правило для dhcpcore.dll и w32time.dll? Я правильно вас понял? И аналогично, запрещающие правила для других служб, запускающихся через svchost? И это всё работает на win 10 1903? Всего записей: 2154 | Зарегистр. 01-12-2009 | Отправлено: 07:31 25-09-2019

KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Caravelli Не так. Запрещать уже ничего не нужно. В шапке три пикчи, после выполнения того, что на них указано вы ЗАПРЕТИЛИ всё и всем и ни одна служба или программа не имеют выхода в свет. Далее вы разрешаете только то, что считаете нужным. Т.е. в данном случае разрешающее правило имеет приоритет. Если программе или службе, например, W32Time необходимо предоставить доступ, вы создаете правило либо через GUI, либо командами, например: Код: netsh advfirewall firewall add rule name="Синхронизация времени (UDP - исходящий трафик)" dir=Out action=Allow profile=Private,Public program="C:\Windows\system32\svchost.exe" protocol=UDP remoteport=123 localport=123 remoteip=129.6.15.28-129.6.15.29 Разбираем строку: netsh advfirewall firewall add rule name="Синхронизация времени (UDP - исходящий трафик)" => команда создания правила под таким то именем dir=Out => исходящее соединение action=Allow => соединение разрешить profile=Private,Public => профили, к которым применяется это правило program="C:\Windows\system32\svchost.exe" => программа, которой даем разрешение, НО!, далее, только protocol=UDP => по указанному протоколу remoteport=123 => по указанному удаленному порту localport=123 => по указанному локальному порту remoteip=129.6.15.28-129.6.15.29 => и только по указанным IP адресам. Если обратили внимание, только что мы дали выход в свет svchost.exe, но ОГРАНИЧЕННО, потому другие службы не имеют выхода в свет и запрещать им ничего не нужно им и так запрещено, смотрите три пикчи. Всего записей: 11112 | Зарегистр. 12-10-2001 | Отправлено: 08:18 25-09-2019

Caravelli Silver Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору KLASS С W32Time вопросов нет. А вот как вы пропишите разрешающее правило для центра обновления windows, например? Служба dns-клиент, естественно отключена. И будет ли работать это правило в win 10 pro 1903? Надеюсь, не слишком озадачиваю с расспросами. Истина где-то рядом Всего записей: 2154 | Зарегистр. 01-12-2009 | Отправлено: 09:29 25-09-2019

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows

Переход по форумам  Закладки   » Компьютеры Цифровое изображение Программы Microsoft Windows UNIX Другие OS Hardware В помощь сисадмину Прикладное программирование Игры Форумные игры   » Интернет Web-программирование В помощь вебмастеру Графика Хостинг Зацените-ка!   » Тематические Ikonboard v.2 Ikonboard v.3 Invision Board Другие форумы PHP-Nuke и другие порталы Мобила   » Общие Спорт Флейм Темы по региональным встречам Музыка и Кино Юмор Литература и Живопись   » Ru.Board Новости Помощь по форуму   » Андеграунд eBookz Варезник Раздачи и акции Мобильный варезник Андеграунд Игры и фильмы   » Специальные Тестирование