KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Как видно из описания темы, речь пойдёт о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии, вся "борьба" с которой сводится к отключению/перенастройке почти всех правил Microsoft. Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.   Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности. ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:     Отключаем или удаляем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP) Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик) и Основы сетей - DNS (UDP - исходящий трафик). НЕ ОБЯЗАТЕЛЬНО (на слив телеметрии не влияет, сначала осознайте, для чего вам это нужно): Оставив правило DNS, помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд. Если таки решили это правило отключить и осознали, зачем вам это надо, обязательно отключите службу DNS-клиент. Всё, Интернета нет, как и нет любых других соединений (кроме DHCP и DNS), включая телеметрию. Чтобы убедиться в этом, используйте Wireshark. После такой настройки обновления автоматически устанавливаться не будут. Для систем ниже Windows 10 сначала обновите систему, а потом настраивайте правила брандмауэра. Последующие обновления устанавливайте ручками. Актуальный список обновлений для Windows 10 см. здесь, рекомендации по обновлению Windows 7 SP1 см. здесь. История кумулятивных обновлений для разных версий Windows 10 доступна здесь.   Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. Иначе говоря, будем создавать "белый" список приложений. Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.   Для того чтобы быстро разобраться, какой программе что нужно открыть в брандмауэре, можно использовать приложение Process Hacker. Сборка Process Hacker x86 x64 от Victor_VG или ее русский вариант от KLASS для Windows 10. Вопросы по работе Process Hacker (изучите там шапку). Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" и запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим, к каким портам, удалённым адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения. Для Windows 7 можно воспользоваться набором NetworkTrafficView_russian. Также, в любой системе, для отслеживания можно использовать Process Monitor от Марка Руссиновича (в той же теме все вопросы по настройке программы).   Как добавлять или изменять правила, используя командную строку (команда netsh).   Контекстное меню в проводнике для файлов .EXE, с помощью которого можно добавлять правила в брандмауэр (Shift+ПКМ).   Не лишним будет добавить в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.   Импортируйте свои правила при каждом входе в систему через Планировщик, так как правила от M$ могут быть восстановлены при очередном обновлении.   Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)   Также, для удобства создания правил, есть другой инструмент Windows Firewall Control. Это надстройка, которая работает в области уведомлений на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws, без необходимости переходить в определённые окна настроек брандмауэра.   Включить аудит Платформы фильтрации IP-пакетов   Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell или Netsh   Проверка брандмауэра на наличие уязвимостей   Как запретить или разрешить изменять правила брандмауэра. Утилита SubInACL от Microsoft. Нюансы: 1, 2. На сегодня утилита не поддерживается и была убрана с сайта разработчика. Ищите в других местах: subinacl.exe Size: 290 304 Bytes CRC32: 90B58A75 MD5: 53cdbb093b0aee9fd6cf1cbd25a95077 SHA1: 3b90ecc7b40c9c74fd645e9e24ab1d6d8aee6c2d SHA256: 01a2e49f9eed2367545966a0dc0f1d466ff32bd0f2844864ce356b518c49085c SHA512: 7335474d6a4b131576f62726c14148acf666e9a2ce54128b23fe04e78d366aa5bdf428fe68f28a42c2b08598d46cada447a4e67d530529b3e10f4282513a425f   Ещё раз про "секретные, неотключаемые разрешающие правила" RestrictedServices   Смежные темы: Настройка персональных файерволов (firewall rules) Бесконтрольность Windows 10 Быстрая настройка Windows   Шапку и около-темные вопросы обсуждаем здесь Всего записей: 11112 | Зарегистр. 12-10-2001 | Отправлено: 20:59 05-03-2017 | Исправлено: WildGoblin, 13:05 15-06-2022

WildGoblin Ru-Board Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору KiloSub Цитата: ...сначала еще в саму Погоду нужно зайти... Да - сначала приложение надо запустить и только после этого начинают пуши приходить. Цитата: Бодаюсь... Разрешения для сервисов в WF как-то странно работают т.ч. надо или вылавливать диапазон IP (в итоге там весь акамай и т.п. будет) для svchost или разрешать ему всё (а потом запрещать ненужное - т.е. переходим в black-list режим работы для svchost). ---------- Capitalism is the Virus Бога нет, царя не надо, Губернатора убьём, Платить подати не будем, Во солдаты не пойдём. Всего записей: 29341 | Зарегистр. 15-09-2001 | Отправлено: 13:41 29-10-2020

KiloSub Full Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору WildGoblin, да, очень не понятно. У меня тут три проблемы: активация системы (выше по теме), эта с плитками и еще с Солитером со входом в аккаунт. Все три получается решить, только если всему svchost разрешить гулять на (80, 443, ...) порты. А с отдельными службами ступор - не выходит каменный цветок. Всего записей: 420 | Зарегистр. 30-05-2020 | Отправлено: 14:21 29-10-2020

shadow_member Platinum Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору KiloSub Цитата: какая служба оживляет Погода в Пуск? Т.е. чтобы не разрешать весь svchost (с ним разрешенным плитка живет), а сделать правило только для службы. Боюсь, что это уже невозможно, т.к. микрософт тоже не лаптем щи хлебает. qupear Цитата: LTSC (LTSB) редакция задумана как раз так, чтоб весь срок службы компьютера ничего в нём не изменялось (включая софт, железо и периферию). Что-то из этого в компьютере меняется? Тогда скорее всего лучше забыть про блокировки svchost.exe, ntoskrnl.exe, lsass.exe и прочего. Заменен диск и видеокарта. Первое заблокировано полностью, второе и третье отсутствуют, как процессы. Что неприятного должно произойти?     Мой выбор - svchost должен быть полностью заблокирован, даже в ущерб такому бантику, как плитка с погодой. Всего записей: 22354 | Зарегистр. 18-07-2006 | Отправлено: 14:56 29-10-2020

WildGoblin Ru-Board Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору shadow_member Цитата: Боюсь, что это уже невозможно, т.к. микрософт тоже не лаптем щи хлебает. Для некоторых служб вполне можно создать рабочие правила в WF. Ну и, к примеру, до недавнего времени не работали правила для пакета Microsoft.WindowsStore и приходилось давать разрешения для Store.exe т.ч. думаю, что это не противодействие, а недоработка. Цитата: ...третье отсутствуют, как процессы. Что неприятного должно произойти? Не смонтируется автоматом сетевой диск (с парольным доступом) при загрузке винды - "Не удалось восстановить подключение ко всем сетевым дискам". Цитата: Мой выбор - svchost должен быть полностью заблокирован... Если это компьютер с вредоносами (бред какой - что вредоносам до каких-то там блокировок...), то наверное да, а если нет, то и нет. ---------- Capitalism is the Virus Бога нет, царя не надо, Губернатора убьём, Платить подати не будем, Во солдаты не пойдём. Всего записей: 29341 | Зарегистр. 15-09-2001 | Отправлено: 15:32 29-10-2020

KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору shadow_member Цитата: Боюсь, что это уже невозможно, т.к. микрософт тоже не лаптем щи хлебает. Предлагаю дела политические перенести во флейм. Это политика, если америкосы договорились. Тему не развиваем - это было предупреждение.   Добавлено: PS а по сути, мы просто многого не ведаем, в плане тех вопросов. Ради Бога, давайте не будем здесь гадать... Спасибо. Всего записей: 11112 | Зарегистр. 12-10-2001 | Отправлено: 15:40 29-10-2020

WildGoblin Ru-Board Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору KLASS Цитата: PS а по сути, мы просто многого не ведаем, в плане тех вопросов. "тех вопросов" или "тех. вопросов"? Если второе, то надо разбираться - для того сюда и ходим. ---------- Capitalism is the Virus Бога нет, царя не надо, Губернатора убьём, Платить подати не будем, Во солдаты не пойдём. Всего записей: 29341 | Зарегистр. 15-09-2001 | Отправлено: 16:03 29-10-2020

KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору WildGoblin Ты понял, спасибо, но сумничал. У меня тоже есть свои дела. Иногда ошибаюсь, русский язык (правописание) не в этом разделе. Всего записей: 11112 | Зарегистр. 12-10-2001 | Отправлено: 16:12 29-10-2020 | Исправлено: KLASS, 16:16 29-10-2020

WildGoblin Ru-Board Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору KLASS Цитата: Ты понял... Не - потому и переспросил, серьёзно. Цитата: Иногда ошибаюсь, русский язык (правописание) не в этом разделе. Я вообще не помню чтобы когда-то до этого докапывался... ---------- Capitalism is the Virus Бога нет, царя не надо, Губернатора убьём, Платить подати не будем, Во солдаты не пойдём. Всего записей: 29341 | Зарегистр. 15-09-2001 | Отправлено: 16:19 29-10-2020

KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору WildGoblin Хорошо. Там, в чем отличие? Можно ссылку здесь было кинуть, если есть, что сказать по поводу... Тему засираем-однозначно, твою тему! Будь ласка, свали, пожалуйста, во флейм. Всего записей: 11112 | Зарегистр. 12-10-2001 | Отправлено: 16:25 29-10-2020

shadow_member Platinum Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору KLASS Цитата: Предлагаю дела политические перенести во флейм. Это политика, если америкосы договорились. Т.е. сказать в составе общего технического сообщения, что Цитата: Боюсь, что это уже невозможно, т.к. микрософт тоже не лаптем щи хлебает , а эту фразу в контексте обсуждаемого вопроса можно понять только как "микрософт постоянно ужесточает политику использования svchost", нужно было во флейме? А к теме брандмауэра Windows это никак не пристегивается? Что политического упомянуто, микрософт, лапти или щи? Тебе русская народная поговорка известна, где упоминаются щи и лапоть, или это "политический" анекдот? А где в посту упомянуты американцы (америкосы, по-твоему)? На другом форуме тебя за такое выражение самого забанили бы.   Эх, фельдфебель! Кстати, фельдфебель - это не оскорбление, как ты мог подумать, а воинское звание в ряде армий, в т.ч. в русской до 1917-го, что-то вроде сержанта или старшины. Посмотри, пожалуйста, здесь же соседние посты, и заметь, сколько там совершенно флеймовых постов, которые ты совершенно "уверенно" выборочно не замечаешь. Ладно, бань, что ли, раз тут замешана политика, может, даже "высокая" Обсуждаем технические вопросы, но не Майкрософт или кого бы то ни было. Все остальное эмоции, твои. И на этом все. Перекур пару дней. Всего записей: 22354 | Зарегистр. 18-07-2006 | Отправлено: 18:42 29-10-2020 | Исправлено: KLASS, 08:18 30-10-2020

WildGoblin Ru-Board Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору KLASS Цитата: Там, в чем отличие? Посчитай %% соотношение моих постов по теме и не по теме - стоит меня от сюда во флейм гнать? Я ведь как бы давным-давно больше отдаю нежели забираю. Цитата: Будь ласка, свали, пожалуйста, во флейм. Будешь оскорблять меня я в Спортлото пожалуюсь!   shadow_member Цитата: Ладно, бань, что ли, раз тут замешана политика, может, даже "высокая" Не, ну нафиг - предлагаю повиниться и таки свалить во флейм и уж там нагадить пообщаться от души.   KLASS Я правда больше так не буду , но прошу заметить что мысль она живая, да и мы не робАты чтобы следовать чёткому алго (где бы ещё его взять - чёткое ). ---------- Capitalism is the Virus Бога нет, царя не надо, Губернатора убьём, Платить подати не будем, Во солдаты не пойдём. Буду не буду, не дитя ведь. Аналогично, пару дней собраться с мыслями, иначе... Нас не догонишь (С) ) Всего записей: 29341 | Зарегистр. 15-09-2001 | Отправлено: 19:43 29-10-2020 | Исправлено: KLASS, 08:20 30-10-2020

KiloSub Full Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору blizard, со службами по отдельности я так и не разобрался (не получилось), а выхода svchost на http(s) порты было достаточно. Ну и про dns наверное нужно не забывать, хотя я не отслеживал, нужно ли именно для активации. Всего записей: 420 | Зарегистр. 30-05-2020 | Отправлено: 02:40 31-10-2020 | Исправлено: KiloSub, 02:42 31-10-2020

vikkiv Advanced Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Если кто управляет firewall-ом через PowerShell (скрипты по расписанию) на тему проверки разрешения белых адресов/блокированных и пр. то в Win прилетело очередное обновление которое поломало систему доступа в сеть (по крайней мере у меня)   Теперь ему (PS) для выхода в мир (даже для разрешения IP адресов через DNS) нужно давать отдельное правило типа проверок в стиле Код: [System.Net.DNS]::GetHostAddresses("www.vk.com").IPAddressToString (причём отдельно для каждого .exe варианта который используется, и для х86 и для x64 {System32 / SysWOW64}, так-же для обычного powershell.exe и с GUI {т.е. тот который powershell_ise.exe})   Первый похожий сигнал был месяц назад когда у меня то-ли Edge то-ли Chrome поломался похожим образом. Всего записей: 747 | Зарегистр. 10-11-2005 | Отправлено: 10:59 06-11-2020

Leon_Ko Advanced Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Подскажите, кто знает, с изменением RDP-порта в 10-ке (LTSC 2019). Делаю так: Код: reg add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v "PortNumber" /t REG_DWORD /d "0000d903" /f Но после перезагрузки перестаёт работать, хотя в 7-ке всё работало. Код: netstat -an | find ":55555" выводит, что порт - слушается, т.е. смена порта произошла. В брандмауэре номер порта тоже сменён, но... почему-то всё равно не пропускает - никак не пойму, почему   Выключаю брандмауэр - всё работает, включаю - опять нет! Никак не пойму, в чём дело, хоть порт назад меняй Взял, установил оффтопик RDPWrap-v1.6.2 - всё равно потом использовать, всё заработало! Но RDPWrap добавил правило на старый порт (3389), я это правило удалит потом - всё равно работает (с новым портом). В чём же всё-таки проблема? Всего записей: 1024 | Зарегистр. 26-11-2008 | Отправлено: 08:10 10-11-2020

WildGoblin Ru-Board Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Leon_Ko Цитата: В брандмауэре номер порта тоже сменён, но... почему-то всё равно не пропускает - никак не пойму, почему   Выключаю брандмауэр - всё работает, включаю - опять нет! Посмотрите лог - что там файервол блокирует? ---------- Capitalism is the Virus Бога нет, царя не надо, Губернатора убьём, Платить подати не будем, Во солдаты не пойдём. Всего записей: 29341 | Зарегистр. 15-09-2001 | Отправлено: 12:06 10-11-2020

Leon_Ko Advanced Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору WildGoblin Цитата: Посмотрите лог - что там файервол блокирует? Точно! Должны же быть логи - логично Про эвент вьювер знаю, а дальше? Что-то я в этой 10-ке как слепой котёнок: ничего найти не могу. Не ткнёте носом, куда дальше податься? Всего записей: 1024 | Зарегистр. 26-11-2008 | Отправлено: 14:04 10-11-2020

WildGoblin Ru-Board Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Leon_Ko Цитата: Не ткнёте носом, куда дальше податься? В ком. строке выполняете "control", а далее Есть ли возможность посмотреть логи Windows Firewall   Ну или лучше поставьте WFC - там удобнее логи смотреть. ---------- Capitalism is the Virus Бога нет, царя не надо, Губернатора убьём, Платить подати не будем, Во солдаты не пойдём. Всего записей: 29341 | Зарегистр. 15-09-2001 | Отправлено: 14:53 10-11-2020

Leon_Ko Advanced Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору WildGoblin Благодарю! Правильно ли я понимаю, что мне нужно вот ЭТО: ??? Параметры логоведения вроде бы выставил, но... Там практически ничего нет! Что-то типа: Код: #Version: 1.5 #Software: Microsoft Windows Firewall #Time Format: Local #Fields: date time action protocol src-ip dst-ip src-port dst-port size tcpflags tcpsyn tcpack tcpwin icmptype icmpcode info path   2020-11-10 15:10:28 DROP TCP 192.168.2.20 192.168.2.22 49688 55555 52 S 2994288205 0 8192 - - - RECEIVE 2020-11-10 15:10:31 DROP TCP 192.168.2.20 192.168.2.22 49688 55555 52 S 2994288205 0 8192 - - - RECEIVE 2020-11-10 15:10:37 DROP TCP 192.168.2.20 192.168.2.22 49688 55555 48 S 2994288205 0 8192 - - - RECEIVE   Не знаю, что из этого можно выжать? Цитата: Ну или лучше поставьте WFC - там удобнее логи смотреть. Не, я предпочитаю другую рыбу. Но пока надо разобраться с тем, что есть...   Всего записей: 1024 | Зарегистр. 26-11-2008 | Отправлено: 16:01 10-11-2020 | Исправлено: Leon_Ko, 16:03 10-11-2020

WildGoblin Ru-Board Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Leon_Ko Цитата: Правильно ли я понимаю, что мне нужно вот ЭТО:   Вроде да, но сам я это не использую т.ч. конкретно не подскажу. Цитата: Не знаю, что из этого можно выжать? Дропаются соединения на 192.168.2.22 55555 - что-то не так у вас с правилами. Цитата: Не, я предпочитаю другую рыбу Я тестировал - хрень полная. Цитата: Но пока надо разобраться с тем, что есть... Вы поставьте в качестве просмотрщика логов, настройте, а потом удалите...   P.S. Ещё можно Process Hacker поставить - там вроде показывается какой правило сработало. ---------- Capitalism is the Virus Бога нет, царя не надо, Губернатора убьём, Платить подати не будем, Во солдаты не пойдём. Всего записей: 29341 | Зарегистр. 15-09-2001 | Отправлено: 16:51 10-11-2020

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Активные темы » Тонкая настройка брандмауэра Windows

Переход по форумам  Закладки   » Компьютеры Цифровое изображение Программы Microsoft Windows UNIX Другие OS Hardware В помощь сисадмину Прикладное программирование Игры Форумные игры   » Интернет Web-программирование В помощь вебмастеру Графика Хостинг Зацените-ка!   » Тематические Ikonboard v.2 Ikonboard v.3 Invision Board Другие форумы PHP-Nuke и другие порталы Мобила   » Общие Спорт Флейм Темы по региональным встречам Музыка и Кино Юмор Литература и Живопись   » Ru.Board Новости Помощь по форуму   » Андеграунд eBookz Варезник Раздачи и акции Мобильный варезник Андеграунд Игры и фильмы   » Специальные Тестирование