Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows

Модерирует : KLASS, IFkO

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117

Открыть новую тему     Написать ответ в эту тему

KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
  • Как видно из описания темы, речь пойдёт о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии, вся "борьба" с которой сводится к отключению/перенастройке почти всех правил Microsoft.
    Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.
     
  • Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности.
    ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:
       
    Отключаем или удаляем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP)
    Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик)
    и Основы сетей - DNS (UDP - исходящий трафик).


    НЕ ОБЯЗАТЕЛЬНО (на слив телеметрии не влияет, сначала осознайте, для чего вам это нужно):
    Оставив правило DNS, помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд.
    Если таки решили это правило отключить и осознали, зачем вам это надо, обязательно отключите службу DNS-клиент.


    Всё, Интернета нет, как и нет любых других соединений (кроме DHCP и DNS), включая телеметрию. Чтобы убедиться в этом, используйте Wireshark.
    После такой настройки обновления автоматически устанавливаться не будут. Для систем ниже Windows 10 сначала обновите систему, а потом настраивайте правила брандмауэра. Последующие обновления устанавливайте ручками.
    Актуальный список обновлений для Windows 10 см. здесь, рекомендации по обновлению Windows 7 SP1 см. здесь.
    История кумулятивных обновлений для разных версий Windows 10 доступна здесь.
     
  • Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. Иначе говоря, будем создавать "белый" список приложений.
    Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.
     
  • Для того чтобы быстро разобраться, какой программе что нужно открыть в брандмауэре, можно использовать приложение Process Hacker.
    Сборка Process Hacker x86 x64 от Victor_VG или ее русский вариант от KLASS для Windows 10.
    Вопросы по работе Process Hacker (изучите там шапку).
    Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" и запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим, к каким портам, удалённым адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения.
    Для Windows 7 можно воспользоваться набором NetworkTrafficView_russian.
    Также, в любой системе, для отслеживания можно использовать Process Monitor от Марка Руссиновича (в той же теме все вопросы по настройке программы).
     
  • Как добавлять или изменять правила, используя командную строку (команда netsh).
     
  • Контекстное меню в проводнике для файлов .EXE, с помощью которого можно добавлять правила в брандмауэр (Shift+ПКМ).
     
  • Не лишним будет добавить в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.
     
  • Импортируйте свои правила при каждом входе в систему через Планировщик, так как правила от M$ могут быть восстановлены при очередном обновлении.
     
  • Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)
     
  • Также, для удобства создания правил, есть другой инструмент Windows Firewall Control.
    Это надстройка, которая работает в области уведомлений на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws, без необходимости переходить в определённые окна настроек брандмауэра.
     
  • Включить аудит Платформы фильтрации IP-пакетов
     
  • Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell или Netsh
     
  • Проверка брандмауэра на наличие уязвимостей
     
  • Как запретить или разрешить изменять правила брандмауэра. Утилита SubInACL от Microsoft. Нюансы: 1, 2. На сегодня утилита не поддерживается и была убрана с сайта разработчика.
    Ищите в других местах:
    subinacl.exe
    Size: 290 304 Bytes
    CRC32: 90B58A75
    MD5: 53cdbb093b0aee9fd6cf1cbd25a95077
    SHA1: 3b90ecc7b40c9c74fd645e9e24ab1d6d8aee6c2d
    SHA256: 01a2e49f9eed2367545966a0dc0f1d466ff32bd0f2844864ce356b518c49085c
    SHA512: 7335474d6a4b131576f62726c14148acf666e9a2ce54128b23fe04e78d366aa5bdf428fe68f28a42c2b08598d46cada447a4e67d530529b3e10f4282513a425f
     
  • Ещё раз про "секретные, неотключаемые разрешающие правила" RestrictedServices
     
  • Смежные темы:
    Настройка персональных файерволов (firewall rules)
    Бесконтрольность Windows 10
    Быстрая настройка Windows
     
  • Шапку и около-темные вопросы обсуждаем здесь

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 20:59 05-03-2017 | Исправлено: WildGoblin, 13:05 15-06-2022
Victor_VG



Tracker Mod
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002
 
Верно, под понятием "входящие вызовы, соединения" понимаются любые соединения порождённые удалённым узлом. Даже если взаимодействующие устройства физически находятся рядом, но это отдельные системы, любая из них по отношению к другой будет внешним узлом.


----------
Жив курилка! (Р. Ролан, "Кола Брюньон")
Xeon E5 2697v2/C602/128 GB PC3-14900L/GTX 1660 Ti, Xeon E5-2697v2/C602J/128 Gb PC3-14900L/GTX 1660 Ti

Всего записей: 33134 | Зарегистр. 31-07-2002 | Отправлено: 22:27 17-08-2017 | Исправлено: Victor_VG, 22:29 17-08-2017
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
окей, а примет этот пакет сама программа или таки какаято вендовая служба, только потом передав запросившей программе?
 
Добавлено:
Victor_VG

Цитата:
Верно,

я знаю, что теоретически верно, меня интересует интерпретация фаером

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 22:29 17-08-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002
А бес ее знает, что там мелкие могли придумать... потому, как можно больше закрыть выход Мелким службам наружу

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 22:31 17-08-2017 | Исправлено: KLASS, 22:32 17-08-2017
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS
 

Цитата:
как можно больше закрыть выход Мелким службам наружу

так как раз наоборот, надо разрешить те службы, которые необходимы и блокнуть те в которых нет надобности

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 22:35 17-08-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002
Какие службы необходимы, кроме DHCP, ну и DNS, хотя без последнего можно работать?

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 22:37 17-08-2017
Victor_VG



Tracker Mod
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002
 
Сначала пакет принимает сетевая карта (NIC) и сверяет МАС получателя в заголовке пакета со своим, если совпадёт, считает пакет в буфер приёма NIC и выставит прерывание по событию ввода/вывода, если МАС не совпал то проигнорирует (отбросит) данный пакет, а дальше драйвер сетевой платы проверяет целостность пакета, извлекает из него  поле DATA и значение удалённого IP из заголовка, после чего передаёт принятый пакет на вход стека сетевых протоколов ОС, а уже там в цепочке других фильтров его обработает стенка.

----------
Жив курилка! (Р. Ролан, "Кола Брюньон")
Xeon E5 2697v2/C602/128 GB PC3-14900L/GTX 1660 Ti, Xeon E5-2697v2/C602J/128 Gb PC3-14900L/GTX 1660 Ti

Всего записей: 33134 | Зарегистр. 31-07-2002 | Отправлено: 22:41 17-08-2017
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS

Цитата:
Какие службы необходимы

разные, дхцп кстати тож не всегда необходим, и его тож можно а иногда и нужно блочить, но не суть, это частные случаи
 
Добавлено:
Victor_VG

Цитата:
сетевая карта (NIC)

у которой кстати свой фаер стоит с большой вероятностью

Цитата:
сверяет МАС

ну это ниже уровнем, арп, нас же высшие интересуют (кстати может принять и чужие маки работая снифером)

Цитата:
на вход стека сетевых протоколов ОС

вот-вот

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 22:41 17-08-2017
Victor_VG



Tracker Mod
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002
 
В NIC стенки нет. Это просто набор регистров, приёмопередатчиков и простейшей логики коррекции ошибок среды передачи. Всё остальное реализуется выше, на сетевом и транспортном уровнях OSI/ISO 7498. Иначе NIC будет слишком сложна и дорога в производстве, а она не зря копейки стоит, просто за морем телушка полушка, да рупь перевоз.

----------
Жив курилка! (Р. Ролан, "Кола Брюньон")
Xeon E5 2697v2/C602/128 GB PC3-14900L/GTX 1660 Ti, Xeon E5-2697v2/C602J/128 Gb PC3-14900L/GTX 1660 Ti

Всего записей: 33134 | Зарегистр. 31-07-2002 | Отправлено: 22:58 17-08-2017
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Victor_VG
 

Цитата:
Всё остальное реализуется выше

ну естественно повыше физического уровня сигналов но на "железе", в новомодных чипах уже бывает фильтрация высших уровней и своя логика обработки до оси

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 23:05 17-08-2017
Victor_VG



Tracker Mod
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Вот тебе классический пример NIC - Realtek RTL8029AS - там не на чем стенку собрать - бюджет чипа около 210 тысяч транзисторов, этого не хватит для реализации процессора - 16K SRAM забирает почти все.

----------
Жив курилка! (Р. Ролан, "Кола Брюньон")
Xeon E5 2697v2/C602/128 GB PC3-14900L/GTX 1660 Ti, Xeon E5-2697v2/C602J/128 Gb PC3-14900L/GTX 1660 Ti

Всего записей: 33134 | Зарегистр. 31-07-2002 | Отправлено: 23:05 17-08-2017
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Victor_VG
=)  
а чего не интел 1гбит с поддержкой виртуализации

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 23:08 17-08-2017
Victor_VG



Tracker Mod
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Ты имеешь ввиду однокристалки SoC стоящие в роутерах? Там там бюджет миллионы транзисторов, так что их основа однокристальный RISC процессор и обвязка из нескольких NIC на общей коммутационной матрице, а у простейших NIC устанавливаемых на сетевые платы этого нет. Никто не станет ставить туда Intel i960 и несколько мегов ОЗУ - плата по цене как крыло от Боинга выйдет.  
 
Добавлено:
А поддержка там простейшая - несколько десятков строк микрокода в ПЗУ, достаточно. Просто лишний слой фотошаблона чипа, прибавка себестоимости порядка пары процентов.

----------
Жив курилка! (Р. Ролан, "Кола Брюньон")
Xeon E5 2697v2/C602/128 GB PC3-14900L/GTX 1660 Ti, Xeon E5-2697v2/C602J/128 Gb PC3-14900L/GTX 1660 Ti

Всего записей: 33134 | Зарегистр. 31-07-2002 | Отправлено: 23:12 17-08-2017
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Victor_VG

Цитата:
SoC стоящие в роутерах

да не только в роутерах (100 баксов), в нормальных премиум мамках (100 баксов), не говоря про сервачные платы (250+ баксов) ну вот зачем ты 10мбит чип 20илетней давности в пример привёл
это как сравнивать видюху и420 с современными встроеными ускорителями

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 23:16 17-08-2017 | Исправлено: Us2002, 23:18 17-08-2017
Victor_VG



Tracker Mod
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002
 
Ну, не 10, 100, и он кстати просто типовой пример - стоимость порядка $1,5 - $1,8 в партиях от 10000 шт, а самая дешёвая SoC в той же партии стоит порядка $20 - $25 за чип. Разница есть?

----------
Жив курилка! (Р. Ролан, "Кола Брюньон")
Xeon E5 2697v2/C602/128 GB PC3-14900L/GTX 1660 Ti, Xeon E5-2697v2/C602J/128 Gb PC3-14900L/GTX 1660 Ti

Всего записей: 33134 | Зарегистр. 31-07-2002 | Отправлено: 23:19 17-08-2017
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Victor_VG
Compliant to Ethernet II and IEEE802.3 10Base5, 10Base2, 10BaseT

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 23:22 17-08-2017
Valery_Sh



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002
 
Блуждаешь ты в потёмках с "входящими/исходящими". Почитай как работает netfilter, что такое conntrack, ctstate и т.д.. По этому вопросу тонны качественного материала.
 
Отличие от wf в том, что виндовый в довесок отслеживает конкретное приложение, если не указано иное, чем голый netfilter не занимается.
А в остальном, стандарт - он есть стандарт. Иначе не было бы интернета и локалок с разномастным оборудованием.

Всего записей: 2171 | Зарегистр. 30-06-2008 | Отправлено: 23:39 17-08-2017
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Valery_Sh

Цитата:
в довесок отслеживает конкретное приложение

дык он и заточен под уровень приложений
причём тут линукс тож не понятно..

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 23:47 17-08-2017 | Исправлено: Us2002, 23:49 17-08-2017
Valery_Sh



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002

Цитата:
дык он и заточен под уровень приложений
причём тут линукс тож не понятно..

 
 
1) Не заточен. Не указывай приложение и будут те же яйца
2) При том, что в контексте данной ветки работает по той же логике, чтобы соответствовать стандартам. Или у m$ уже свой лунапарк с блекджеком и поэтессами? Тогда ой.
 
Впрочем, вольному  - воля.
http://ixbt.photo/?id=photo:1188933
Любой путь при определённой настойчивости даст результаты

Всего записей: 2171 | Зарегистр. 30-06-2008 | Отправлено: 23:58 17-08-2017
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Не указывай приложение и будут те же яйца  

ну это да, но мы ж указываем и ограничиваем именно приложения
 
Добавлено:

Цитата:
чтобы соответствовать стандартам

стандартам соответствует, работать внутри может по разному, или стеки протоколов идентичны в лине и у мвйков? =)

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 00:29 18-08-2017
Valery_Sh



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002
Ты вообще читаешь, о чём тебе пишут? В линуксовой литературе по netfilter/iptables есть чёткие определения, поэтому читая её, проще разобраться с "мутными вопросами". О состоянии соединений, например.
Подробнее...

Всего записей: 2171 | Зарегистр. 30-06-2008 | Отправлено: 01:38 18-08-2017 | Исправлено: Valery_Sh, 01:48 18-08-2017
Открыть новую тему     Написать ответ в эту тему

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.B0ard
© Ru.B0ard 2000-2024

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru