KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Как видно из описания темы, речь пойдёт о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии, вся "борьба" с которой сводится к отключению/перенастройке почти всех правил Microsoft. Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.   Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности. ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:     Отключаем или удаляем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP) Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик) и Основы сетей - DNS (UDP - исходящий трафик). НЕ ОБЯЗАТЕЛЬНО (на слив телеметрии не влияет, сначала осознайте, для чего вам это нужно): Оставив правило DNS, помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд. Если таки решили это правило отключить и осознали, зачем вам это надо, обязательно отключите службу DNS-клиент. Всё, Интернета нет, как и нет любых других соединений (кроме DHCP и DNS), включая телеметрию. Чтобы убедиться в этом, используйте Wireshark. После такой настройки обновления автоматически устанавливаться не будут. Для систем ниже Windows 10 сначала обновите систему, а потом настраивайте правила брандмауэра. Последующие обновления устанавливайте ручками. Актуальный список обновлений для Windows 10 см. здесь, рекомендации по обновлению Windows 7 SP1 см. здесь. История кумулятивных обновлений для разных версий Windows 10 доступна здесь.   Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. Иначе говоря, будем создавать "белый" список приложений. Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.   Для того чтобы быстро разобраться, какой программе что нужно открыть в брандмауэре, можно использовать приложение Process Hacker. Сборка Process Hacker x86 x64 от Victor_VG или ее русский вариант от KLASS для Windows 10. Вопросы по работе Process Hacker (изучите там шапку). Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" и запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим, к каким портам, удалённым адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения. Для Windows 7 можно воспользоваться набором NetworkTrafficView_russian. Также, в любой системе, для отслеживания можно использовать Process Monitor от Марка Руссиновича (в той же теме все вопросы по настройке программы).   Как добавлять или изменять правила, используя командную строку (команда netsh).   Контекстное меню в проводнике для файлов .EXE, с помощью которого можно добавлять правила в брандмауэр (Shift+ПКМ).   Не лишним будет добавить в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.   Импортируйте свои правила при каждом входе в систему через Планировщик, так как правила от M$ могут быть восстановлены при очередном обновлении.   Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)   Также, для удобства создания правил, есть другой инструмент Windows Firewall Control. Это надстройка, которая работает в области уведомлений на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws, без необходимости переходить в определённые окна настроек брандмауэра.   Включить аудит Платформы фильтрации IP-пакетов   Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell или Netsh   Проверка брандмауэра на наличие уязвимостей   Как запретить или разрешить изменять правила брандмауэра. Утилита SubInACL от Microsoft. Нюансы: 1, 2. На сегодня утилита не поддерживается и была убрана с сайта разработчика. Ищите в других местах: subinacl.exe Size: 290 304 Bytes CRC32: 90B58A75 MD5: 53cdbb093b0aee9fd6cf1cbd25a95077 SHA1: 3b90ecc7b40c9c74fd645e9e24ab1d6d8aee6c2d SHA256: 01a2e49f9eed2367545966a0dc0f1d466ff32bd0f2844864ce356b518c49085c SHA512: 7335474d6a4b131576f62726c14148acf666e9a2ce54128b23fe04e78d366aa5bdf428fe68f28a42c2b08598d46cada447a4e67d530529b3e10f4282513a425f   Ещё раз про "секретные, неотключаемые разрешающие правила" RestrictedServices   Смежные темы: Настройка персональных файерволов (firewall rules) Бесконтрольность Windows 10 Быстрая настройка Windows   Шапку и около-темные вопросы обсуждаем здесь Всего записей: 11177 | Зарегистр. 12-10-2001 | Отправлено: 20:59 05-03-2017 | Исправлено: KLASS, 11:00 19-05-2024

Victor_VG Tracker Mod Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору KLASS   Да, у нас перекрыто через машину на DEC Alpha AXP 21064A @ 150 MHz под DEC OSF/1 - в те времена когда его сделали (1991 год) в чипсеты ещё не встраивали своей ОС, а его для задач "роутер - брандмауэр - NAT" при нашем трафике достаточно, значит пока техника не сгорела - пусть работает.   Добавлено: А что за чип DECchip 21064A видно по сканам его технического описания. Полная книга это семь томов страниц по пятьсот - шестьсот каждый, у меня в столе ксерокс со справочника по данному ЦП - только приложения A - G, но то же страниц сорок будет. ---------- Жив курилка! (Р. Ролан, "Кола Брюньон") Xeon E5 2697v2/C602/128 GB PC3-14900L/GTX 1660 Ti, Xeon E5-2697v2/C602J/128 Gb PC3-14900L/GTX 1660 Ti Всего записей: 33349 | Зарегистр. 31-07-2002 | Отправлено: 15:17 06-04-2019

WildGoblin Ru-Board Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору KLASS Цитата: 52.114.132.73 13.107.4.52 Это "Служба сведений о подключенных сетях" и она на один адрес лезет по dns, а по другому на 80.   А вот ты заблокируй всё в фаере и если что-то пролезет (а оно не пролезет), тогда да, а так нет чистоты в эксперименте.   У меня целый день несколько виртуалок работает на тест и ничего пока не пролезло.   Victor_VG Цитата: Оно точно так же сначала обращается на сервера Intel а после передаёт блок данных (я видел криптованные блоки 60 -270 Кб) на сервера MS... Бред. Твой. Очередной.   danetz Цитата: Intel ME - сливает через родную сетевуху? Это только предположение т.к. никто ещё пока не ловил (но возможность у IME есть делать, то что захочет). Всего записей: 29770 | Зарегистр. 15-09-2001 | Отправлено: 18:48 06-04-2019

Victor_VG Tracker Mod Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору danetz   IME работает с любым сетевым контроллером.   Добавлено: WildGoblin Цитата: Бред. Твой. Очередной. Как всегда, бездоказательные обвинения. Сам же сейчас что написал? Цитата: никто ещё пока не ловил (но возможность у IME есть делать, то что захочет). выходит, по твоей логике раз "никто никогда не ловил" значит "не существует". Неуловимого Джо так же никто не ловил, но он существовал. Ты сам загнал себя в ловушку - Не проверял значит Не существует, а раз Не существует то Не надо проверяю. И далее по кругу. Ты имел дело в лучшем случае с ширпотребом где IME урезана, а C300 это чипсет для серверов и рабочих станций и там она полная, более того факт того, что IME самостоятельно соединяется с сетью оговорен DELL в мануале к машине - "Required Interntet connection for automatic IME and workstation firmware update bypass OS loaded". ---------- Жив курилка! (Р. Ролан, "Кола Брюньон") Xeon E5 2697v2/C602/128 GB PC3-14900L/GTX 1660 Ti, Xeon E5-2697v2/C602J/128 Gb PC3-14900L/GTX 1660 Ti Всего записей: 33349 | Зарегистр. 31-07-2002 | Отправлено: 19:16 06-04-2019

WildGoblin Ru-Board Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Victor_VG Цитата: Как всегда, бездоказательные обвинения. Вить, тебя на лжи и клевете ловили не раз - и тут и в бытность твою модером мёртвого ныне трекера. И ложь и клевету эту подтвердили уважаемые люди путём моего быстрого разбана на оном трекере. Цитата: Ты сам загнал себя в ловушку   Эта "ловушка" всего лишь твои противоречивые и ложные "умозаключения". Я же говорю просто и логично - если никто не поймал (а ловило много людей и многие же исследовали прошивку) IME на не авторизированном "стуке", то стало быть нельзя однозначно утверждать, что IME стучит без разрешения владельца железа. Цитата: Ты имел дело в лучшем случае с ширпотребом где IME урезана... Помнишь - ты спорил со мной и кричал, что в виртуальных машинах не может быть ускорения 3D (это лет десять наверное назад было)? IMHO все твои знания на 90% это старое барахло - как бред и барахло тот твой роутер с процессором работающим на частоте 150мгц. Цитата: ...факт того, что IME самостоятельно соединяется с сетью оговорен DELL в мануале к машине... Т.е. "несанкционированные" соединения прописаны в мануале?   Давай уже дальше по теме общаться, а то я знаю твою любовь к побухтеть за "жизнь". Всего записей: 29770 | Зарегистр. 15-09-2001 | Отправлено: 20:39 06-04-2019

KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору WildGoblin Цитата: А вот ты заблокируй всё в фаере и если что-то пролезет (а оно не пролезет), тогда да, а так нет чистоты в эксперименте.   А смысл, если указанные правила (DNS, DHCP) в рабочей системе включены у каждого по умолчанию? Тогда получается, что надо пересмотреть настройки из шапки. Т.е. мы пришли к тому, что закрывая все исходящие (как ты предложил полностью), при загрузке системы вообще не должно быть включенных правил из белого списка (включая DNS, DHCP), а разрешенные правила белого списка должны заливаться только после входа в систему. Или?   Добавлено: Отключил, как ты советовал для чистоты эксперимента, все разрешенные правила. И даже удалил все правила исходящие и входящие Адресов в Акуле стало появляться больше Добавились: 23.61.218.119- Akamai 207.46.154.155-Мелкие 207.46.155.185-Мелкие   Добавлено: Цитата: факт того, что IME самостоятельно соединяется с сетью оговорен DELL в мануале к машине... Цитата: Т.е. "несанкционированные" соединения прописаны в мануале?   Сам понял, что это соединения, которые указаны в руководстве, стало-быть, они санкционированы, т.е. их никто не скрывал от пользователя. Предупрежден-вооружен.     Добавлено: Цитата: Это "Служба сведений о подключенных сетях" Если в брандмауэре все запрещено, то каково лезет? Хотя в ГП это можно просто отключить. Включаем параметр ГП Конфигурация компьютера\Система\Управление связи через Интернет\\Ограничить соединение с Интернетом, сразу в папке Параметры связи через Интернет включаются все параметры, после чего IP в Акуле при загрузке перестали появляться. Стоит ли это заносить в шапку, ведь после этого будет много разговоров о том, что в трее на значке сетевых подключений горит восклицательный знак, пАмагите Всего записей: 11177 | Зарегистр. 12-10-2001 | Отправлено: 02:15 07-04-2019 | Исправлено: KLASS, 07:08 07-04-2019

shadow_member Platinum Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору KLASS Стоит, но не ссылку на один из имеющихся постов, а на отредактированный - четкий, ясный, конкретный - что приобретем, что потеряем, без глубокомысленных пауз и многоточий Народ у нас умный, народ все поймет. Всего записей: 22354 | Зарегистр. 18-07-2006 | Отправлено: 07:25 07-04-2019

KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору shadow_member А что теряем? Например, в озвученной папке ГП, отключается параметр "Выключить автоматическое обновление корневых сертификатов" и к нему описание: Цитата: Этот параметр политики указывает, используется ли автоматическое обновление корневых сертификатов при помощи Центра обновления Windows . У меня ЦО отключен, к тому же включен UWF-фильтр и обновляй-не_обновляй, после перезагрузки ничего не останется. У другого ЦО включен и, возможно, для него важен этот параметр ГП. Опять же, когда через ЦО эти сертификаты обновляются, есть ли они по умолчанию в поставляемых разработчиком кумулятивах? Я вот понятия не имею, потому как даже не обновляюсь. Что скажет ALL?   Добавлено: Включил по новой основные разрешающие правила в брандмауэре виртуалки: Основы сетей - протокол DHCP (вх. трафик DHCP)   Основы сетей - DNS (UDP - исходящий трафик)   Основы сетей - протокол DHCP (DHCP - исходящий трафик), пока (3 перезагрузки) все тихо, IP в Акуле нет, кроме Internet Assigned Numbers Authority, разумеется. Всего записей: 11177 | Зарегистр. 12-10-2001 | Отправлено: 08:01 07-04-2019 | Исправлено: KLASS, 08:19 07-04-2019

Victor_VG Tracker Mod Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору WildGoblin   Тебя тогда забанили за оскорбление пользователей, а разбанили в том числе и под моё поручительство. ---------- Жив курилка! (Р. Ролан, "Кола Брюньон") Xeon E5 2697v2/C602/128 GB PC3-14900L/GTX 1660 Ti, Xeon E5-2697v2/C602J/128 Gb PC3-14900L/GTX 1660 Ti Всего записей: 33349 | Зарегистр. 31-07-2002 | Отправлено: 09:20 07-04-2019

generator324 Advanced Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Вроде бы где-то мелькало, но не могу найти . Мне нужно экспортировать правила с настроенного компа, а затем их отредактировать (может, можно скразу экспортировать только нужные правила?) для последующего импорта на других машинах. Через netsh, вестимо Я, походу уже запутался Всего записей: 1094 | Зарегистр. 11-01-2019 | Отправлено: 15:03 07-04-2019

WildGoblin Ru-Board Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору KLASS Цитата: А смысл, если указанные правила (DNS, DHCP) в рабочей системе включены у каждого по умолчанию? Ну мы же не каждые и у нас не по умолчанию всё? Цитата: Тогда получается, что надо пересмотреть настройки из шапки. Нет ибо сейчас мы просто проверяем утверждение о том, что "при полном запрете всего WF несанкционированно пропускает данные". Цитата: Или? Просто проверяем - подконтролен ли WF пользователю полностью или нет. Цитата: И даже удалил все правила исходящие и входящие А галка снята - "разрешить одноадресный отклик"? Цитата: Адресов в Акуле стало появляться больше Значит это какая-то особенность реализации гиперв... ты вообще как там сетевое соединение настроил - бриджем или за натом виртуалки? Цитата: Если в брандмауэре все запрещено, то каково лезет? У меня не лезет, а про у тебя - я могу только гадать (т.к. у нас с тобой даже системы виртуализации разные). Цитата: Хотя в ГП это можно просто отключить. Я знаю, да.   Victor_VG Цитата: Тебя тогда забанили за оскорбление пользователей, а разбанили в том числе и под моё поручительство. Вить - ты меня забанил по надуманной и лживой причине - потом начал как обычно лгать и изворачиваться, но был разоблачён своим начальником, на тот момент, по трекеру, после чего ты как всегда порскнул в кусты.   P.S. Девять лет прошло с тех пор но интернеты всё помнят - помнят кто ты и что ты. Ну и да - тут твоё недостойное поведение у меня сейчас вызывает лишь смех, а IRL мы на твоё счастье никогда не встретимся. Всего записей: 29770 | Зарегистр. 15-09-2001 | Отправлено: 15:10 07-04-2019

shadow_member Platinum Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору generator324 netsh advfirewall export C:\wf_config.wfw netsh advfirewall import C:\wf_config.wfw От одмина. Путя, путь, пути, имя - твои. Кажется, если в пути или имени есть пробелы, то от "С до конца взять в кавычки". Ишшо мона через реестр. Всего записей: 22354 | Зарегистр. 18-07-2006 | Отправлено: 15:22 07-04-2019

KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору WildGoblin DHCP у меня включен в основной системе. Цитата: А галка снята - "разрешить одноадресный отклик"?   Нет... зачем ее снимать, что дает? У меня же закончились сыпаться IP после включения параметра в ГП. ========   И да, переноси бодание с Victor_VG по прошлым (и нынешним) годам в ПМ. Всего записей: 11177 | Зарегистр. 12-10-2001 | Отправлено: 15:51 07-04-2019 | Исправлено: KLASS, 15:54 07-04-2019

generator324 Advanced Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору shadow_member Понятно, спасибо. Но это вывод всех правил файрвола, а если мне нужно отдельные? Просто прийдётся переносить на разные ОС, да и на исходной машине много лишнего - всё не нужно. Цитата: Ишшо мона через реестр. Возможно, в моём случае это будет проще (не уверен), по крайней мере, куст реестра "более поддатлив к ручной правке" А где живут настройки файера в реестре? Всего записей: 1094 | Зарегистр. 11-01-2019 | Отправлено: 15:51 07-04-2019

shadow_member Platinum Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору generator324 Windows Firewall rules: HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\FirewallRules По одному можно через интерфейс брандмауэра Windows (но только по одному, а не по 2, 5, 10...). По 2, 5, 10... можно через FireWallRulesParser.exe от Ratiborus или Windows Firewall Control (этот самый удобный). Может, еще как, не в курсах. Всего записей: 22354 | Зарегистр. 18-07-2006 | Отправлено: 16:07 07-04-2019

generator324 Advanced Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору shadow_member Понял, спасибо. Мне, в принципе, нужно нечто подобное (пример из методички): Код: netsh advfirewall firewall add rule name="WebDAV-ЯДиск" dir=out action=allow profile=public,private protocol=TCP remoteport=443 remoteip=213.180.193.53,213.180.204.53,87.250.250.53,87.250.251.53   Только тот же "ЯДиск" заменить на нужную мне прогу, с нужными портами. Ну, и таких прог  может быть несколько (понятное дело, добавляться будет поочередно). Главное - чтобы человек, который будет добавлять правила, при этом ничего дополнительного не напортил. Админские права у него есть, с этой стороны припятствий быть не должно. А вот всё остальное...   Добавлено: Цитата: По одному можно через интерфейс брандмауэра Windows (но только по одному, а не по 2, 5, 10...).   Может быть, можно и так. Беда вся в том, что никогда им не пользовался - для "дома" обходился Сфинксом, с ним мне удобнее. Мне же вывести главное, так? А для ввода я уже бат-файл заготовлю, человеку только запустить его останется... Цитата: По 2, 5, 10... можно через FireWallRulesParser.exe от Ratiborus Надо взглянуть - вдруг понравится Особенно, если он портабельный. Цитата: ...или Windows Firewall Control (этот самый удобный). Может, еще как, не в курсах. Да хватит, наверное   Добавлено: Мда, завяз однако. Через морду  "Брандмауэр Windows в режиме повышенной безопасности" ничего не видно - там одни гуиды   Sphinx, судя по всему, хранит правила в своей собственной базе; на другом(их) компе(ах) Сфинкса не будет, экспорт/импорт, соответственно не пройдёт. FireWallRulesParser.exe от Ratiborus найти пока не сумел, Windows Firewall Control - не знаю, не знаю... Он (Windows Firewall Control) хоть портабельный бывает? Всего записей: 1094 | Зарегистр. 11-01-2019 | Отправлено: 16:18 07-04-2019 | Исправлено: generator324, 16:25 07-04-2019

KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Us2002 Цитата: конечно, тока напрямую, а не через систему которая сверху   Акула стоит на хосте и контролирует сетевой адаптер виртуалки, какая разница как сигнал поступил на адаптер? Цитата: для какой именно цели тебе вход дхцп Это правило я включил на тестовой виртуалке, в рабочей системе оно у меня отключено. Всего записей: 11177 | Зарегистр. 12-10-2001 | Отправлено: 18:47 07-04-2019 | Исправлено: KLASS, 18:48 07-04-2019

KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Us2002 Что такое физический уровень сетевухи? Всего записей: 11177 | Зарегистр. 12-10-2001 | Отправлено: 19:06 07-04-2019

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows

Переход по форумам  Закладки   » Компьютеры Цифровое изображение Программы Microsoft Windows UNIX Другие OS Hardware В помощь сисадмину Прикладное программирование Игры Форумные игры   » Интернет Web-программирование В помощь вебмастеру Графика Хостинг Зацените-ка!   » Тематические Ikonboard v.2 Ikonboard v.3 Invision Board Другие форумы PHP-Nuke и другие порталы Мобила   » Общие Спорт Флейм Темы по региональным встречам Музыка и Кино Юмор Литература и Живопись   » Ru.Board Новости Помощь по форуму   » Андеграунд eBookz Варезник Раздачи и акции Мобильный варезник Андеграунд Игры и фильмы   » Специальные Тестирование