Ovládejte pokročilá pravidla brány firewall systému Windows To je rozdíl mezi minimálně chráněným počítačem a skutečně bezpečným systémem. I když se konzole může na první pohled zdát trochu zastrašující, jakmile pochopíte, jak funguje priorita pravidel, síťové profily a jak vytvářet detailní výjimky pro porty, aplikace nebo služby, začnete skutečně kontrolovat provoz vstupující do vašeho počítače a vystupující z něj.
V tomto článku najdete návod velmi detailní a praktické Tato příručka vysvětluje, jak funguje brána firewall systému Windows s pokročilým zabezpečením, s jakými běžnými problémy se můžete setkat, jak se zpracovávají pravidla, jaké typy konfigurací se doporučují a jak vytvořit vše od jednoduchých až po složitá pravidla pro ICMP, RPC, aplikace, konkrétní porty a modernější možnosti, jako jsou tagy App Control. Cílem je pomoci vám přejít od prostého pochopení konceptu k snadné správě brány firewall.
Základní pojmy brány firewall systému Windows a její profily
Brána firewall zabudovaná ve Windows je firewall s filtrováním paketů Spoléhá na platformu Windows Filtering Platform (WFP). Dokáže analyzovat každý paket na základě kritérií, jako je IP adresa, protokol, port, aplikace nebo služba, a rozhodnout se, zda jej povolit nebo zablokovat podle nakonfigurovaných pravidel.
Tento firewall vždy funguje s obousměrným provozem: příchozí a odchozí připojeníPravidla pro příchozí data řídí, co do vašeho počítače přichází ze sítě, zatímco pravidla pro odchozí data řídí, co váš počítač odesílá. Klíčové je pochopení směru provozu: pokud chcete zabránit příchodu něčeho z internetu, upravíte pravidlo pro příchozí data; pokud chcete zabránit programu v „odchodu do sítě“, nakonfigurujete ho v pravidle pro odchozí data.
Systém Windows organizuje pravidla a zásady do tří síťové profilykteré platí v závislosti na typu sítě, ke které jste připojeni:
- Doména: pro počítače připojené k doméně služby Active Directory.
- soukromý: navrženo pro domácí nebo pracovní sítě, považované za důvěryhodné.
- Veřejnost: pro Wi-Fi v kavárnách, na letištích nebo v jakékoli nespolehlivé síti.
Ve výchozím nastavení je firewall Blokuje téměř vše, co přichází. ve všech třech profilech a povoluje odchozí provoz. To znamená restriktivní zásady pro příchozí provoz a permisivní zásady pro odchozí provoz. Toto globální chování můžete upravit z Vlastnosti brány firewall programu Windows Defender (v pokročilé konzoli) s výběrem pro každý profil, zda jsou příchozí a odchozí připojení ve výchozím nastavení povolena nebo blokována.
Jak získat přístup k bráně firewall systému Windows s pokročilým zabezpečením
Výkonná část firewallu se ovládá z konzole. „Firewall systému Windows s pokročilým zabezpečením“Můžete se k němu dostat několika způsoby, v závislosti na tom, zda pracujete v jednom týmu nebo v doménovém prostředí:
Na počítači se systémem Windows 10 nebo Windows 11 jednoduše otevřete Start, zadejte wf. msc a stiskněte klávesu Enter. Můžete také přejít do Ovládacích panelů > Systém a zabezpečení > Firewall programu Windows Defender a kliknout na „Upřesnit nastavení“ na boku.
V doménovém prostředí je ideální použít Zásady skupiny (GPO)V editoru GPO přejděte do sekce Zásady počítače > Nastavení systému Windows > Nastavení zabezpečení > Brána firewall systému Windows s pokročilým zabezpečením. To vám umožní nasadit centralizovaná pravidla a zásady do všech počítačů pod daným GPO.
V pokročilém rozhraní uvidíte klíčové sekce v levém panelu: Pravidla vstupu, Pravidla opuštěníPravidla zabezpečení připojení a uzel Monitorování. Odtud jsou řízeny prakticky všechny aspekty firewallu.
Přednost a pořadí vyhodnocování pravidel
Jednou z méně intuitivních částí je, jak firewall rozhoduje, co Pravidlo platí, když se jich několik shoduje. se stejným provozem. Ne všechny budou „přidány“; použita je pouze jedna. Znalost priority vám zabrání v tom, abyste se zbláznili, když se něco zablokuje „bez zjevného důvodu“.
Na logické úrovni jsou pravidla vyhodnocována podle tohoto priorita akce:
- Zaprvé, pravidla, která povolují protokol „pokud je to bezpečné“ (IPsec) a také mají Zneplatnění bloku aktivováno.
- Pak pravidla, jejichž akce je Blok.
- Konečně pravidla, která Povolit provoz bez zvláštních podmínek.
Dále, mezi pravidly se stejnou akcí, a priorita podle specifičnostiSpecifičtější pravidla mají přednost před obecnějšími. Například pravidlo, které platí pouze pro konkrétní IP adresu Má přednost před jiným, který pokrývá široký rozsah, za předpokladu, že neexistuje žádné explicitní pravidlo blokování.
V situacích, kdy firewall interně seřazuje pravidla postupně, se dodržuje tento vzorec: nejprve se používají nejpřísnější pravidla (například ta, která ovlivňují konkrétní počítače, konkrétní porty nebo konkrétní aplikace) a nakonec ta méně přísná. Povolují veškerý provoz nebo se vztahují na velké rozsahy. Jakmile se pravidlo shoduje a nařizuje akci, následná pravidla se již nevyhodnocují.
Pokud tedy nastavíte velmi obecné pravidlo, které blokuje vše a má přednost před jiným pravidlem, které povoluje něco specifičtějšího, Všechno bude zablokovánoJe nezbytné navrhnout sadu zásad tak, aby se zabránilo nežádoucímu překrývání, zejména u explicitních pravidel blokování.
Aktivní pravidla, monitorování a předdefinované skupiny
Uzel Dozor Konzola pokročilého zabezpečení zobrazuje pouze pravidla, která jsou aktuálně aktivní. To znamená, že pravidlo může existovat v části „Příchozí pravidla“ nebo „Odchozí pravidla“, ale nemusí být viditelné v části Monitorování, pokud je zakázáno nebo pokud není funkční, protože výchozí chování profilu již tento provoz povoluje.
Například pokud je pro profil nastavena politika ukončení na hodnotu „Povolit“, Pravidla pro odchozí dovolenou nebudou uvedena Neměly by přidávat další omezení. Totéž platí pro určitá pravidla pro příchozí komunikaci, pokud politika a kontext již provoz povolují. To je normální; neznamená to, že konzole je nefunkční.
Z továrny, některé skupiny pravidel Jsou povoleny, protože jsou ve většině prostředí považovány za nezbytné. Patří mezi ně:
- Pravidla Hlavní sítě pro všechny profily.
- Soubor pravidel Vzdálená pomoc, s některými pravidly pouze v doméně a jinými v doméně i v privátní sféře.
- Pravidla Zjišťování sítěale pouze na soukromém profilu.
Instalace určitých funkcí systému Windows nebo aplikací třetích stran může navíc automaticky povolit další pravidla aby tyto komponenty fungovaly bez manuálního zásahu uživatele.
Typy pravidel: programová, portová, předdefinovaná a vlastní
Při vytváření nového pravidla (příchozího i odchozího) nabízí průvodce čtyři základní typy, které pokrývají většinu scénářů:
Pravidla program Jsou přidruženy ke konkrétnímu spustitelnému souboru. Povolují nebo blokují veškerý provoz z aplikace, aniž byste se museli starat o to, které porty používá. Jednoduše vyberete soubor .exe, rozhodnete se, zda jej povolíte nebo zablokujete, a určíte, na které profily se vztahuje. To je velmi užitečné pro zabránění programům v připojení k internetu nebo pro omezení jejich používání ve veřejných sítích.
Pravidla Přístav Filtrují podle protokolu (obvykle TCP nebo UDP) a jednoho či více portů a mohou zahrnovat rozsahy (například „5000–5100“) nebo kombinované seznamy („21, 22, 80, 443“). Lze je použít k uzavření konkrétního portu (například 21/TCP) pro příchozí provoz nebo k zabránění službě v používání určitých portů pro odchozí provoz, případně k jejich otevření pouze v případě potřeby.
Pravidla Předdefinováno Jedná se o šablony, které jsou součástí samotného systému Windows pro interní služby (jako je Vzdálená plocha, Sdílení souborů a tiskáren atd.). Vyberete předdefinovanou sadu, zvolíte, zda je chcete povolit nebo zablokovat a ve kterých profilech, a systém se postará o podrobný popis všech zapojených portů a služeb.
Pravidla Přizpůsobeno Tyto jsou nejflexibilnější a umožňují kombinovat vše: program nebo službu, typ protokolu (včetně ICMPv4, ICMPv6, GRE, IPv6-Route atd.), lokální a vzdálené porty, lokální a vzdálené IP adresy, rozsahy aplikací, bezpečnostní podmínky (IPsec) a profily. Používají se pro detailní scénáře, například: povolení konkrétní službě naslouchat pouze na omezeném rozsahu IP adres v rámci omezené podsítě a na dynamických RPC portech.
Pravidla aplikace a řízení výstupu
Když nainstalujete aplikaci, která naslouchá v síti, je obvyklé, že samotná aplikace... instalační program zaregistruje pravidlo firewallu aby vše fungovalo, aniž by se od uživatele vyžadovalo příliš mnoho. Pokud to tak nefunguje, bude muset uživatel nebo administrátor vytvořte jej ručně.
Problém nastává, když se spoléháte na to, že firewall vše opraví sám. Výchozí firewall systému Windows je docela... permisivní v odchozím provozuPovoluje téměř vše, co není explicitně blokováno. Také nemá tendenci zobrazovat vyskakovací okna pokaždé, když se program pokusí o připojení, jako to dělá mnoho firewallů třetích stran.
Pokud máte obavy z toho, které aplikace se mohou připojit online, můžete změnit zásady odchozí pošty na „Blokovat“ a nastavit komplexní seznam povolenýchToto je však určeno pro vysoce kontrolovaná prostředí (například společnosti s vysokou úrovní zabezpečení). Zahrnuje vedení inventáře aplikací, znalost těch, které vyžadují připojení, a vytvoření pravidla pro každou z nich, obvykle distribuovaného prostřednictvím GPO nebo CSP.
Dále existuje málo známé chování: při pokusu o automatické vytvoření pravidla za běhu (například když se zobrazí oznámení s žádostí o povolení pro aplikaci) se výsledek může lišit v závislosti na roli a akcích uživatele. Privilegovaný uživatel může oznámení neúmyslně zavřít, což vede k vytvoření nových pravidel. pravidla blokováníPokud nejsou k dispozici dostatečná oprávnění nebo jsou oznámení zakázána, pravidla oprávnění se negenerují a provoz zůstává blokován výchozími zásadami.
Značky App Control a PolicyAppId v pravidlech firewallu
V moderním obchodním prostředí lze bránu firewall systému Windows integrovat s Kontrola aplikací používat tagy aplikací (AppID) místo cest ke spustitelným souborům. To umožňuje přidružovat pravidla ke skupinám označených procesů, aniž by se musel spustitelný soubor vždy nacházet ve stejné složce.
Operace je založena na dvou krocích. Zaprvé, Zásady označování v aplikaci App Control který aplikuje značku PolicyAppId na tokeny procesů určitých aplikací nebo skupin aplikací. Tato značka se poté používá jako obor v pravidlech firewallu.
Pak, Pravidla firewallu odkazující na PolicyAppId Existují dva hlavní způsoby: použití uzlu PolicyAppId poskytovatele kryptografických služeb firewallu z řešení MDM, jako je Microsoft Intune (zadáním identifikátoru v poli ID aplikace zásad), nebo vytvoření lokálních pravidel pomocí PowerShellu s rutinou New-NetFirewallRule a zadáním parametru -PolicyAppId s odpovídajícím popiskem.
Tento přístup zvyšuje bezpečnost, protože vyhněte se spoléhání se na absolutní trasy a umožňuje seskupovat aplikace pod stejnou zásadou, což snižuje nároky na údržbu při změně verzí nebo umístění.
Kombinace lokálních a doménových politik
V řízených prostředích je nezbytné kontrolovat, jak se věci dělají místní pravidla jsou smíšená které může správce týmu vytvořit pomocí centralizovaných pravidel distribuovaných prostřednictvím GPO nebo CSP. Toho je dosaženo nastavením zásad slučování pravidel (AllowLocalPolicyMerge) pro každý profil.
Pomocí cest MDM CSP (například ./Vendor/MSFT/Firewall/MdmStore/DomainProfile/AllowLocalPolicyMerge) nebo z objektu GPO „Firewall v programu Windows Defender s pokročilým zabezpečením“ můžete rozhodnout, zda firewall přijímá nebo ignoruje lokálně vytvořená pravidla, a to kromě pravidel definovaných centrální politikou.
V prostředí vysoká bezpečnost Přesměrování lokálních portů je obvykle zakázáno, aby se uživatelům a aplikacím zabránilo v přidávání výjimek za běhu, které otevírají porty bez kontroly. Toto opatření však může narušit fungování aplikací nebo služeb, které se po instalaci pokoušejí vytvořit si vlastní pravidla pro lokální porty.
Proto je zásadní udržovat inventář aplikací Tyto vyžadují výjimky, včetně toho, které porty a protokoly používají a ze kterých sítí by měly být přístupné. Pokud to není řádně zdokumentováno, můžete se setkat s občasnými selháními, která je obtížné diagnostikovat.
Doporučení pro návrh pravidel firewallu
Při navrhování konzistentního souboru pravidel existuje řada dobré praxe které by měly být dodrženy, aby se zabránilo vzniku „výbušného koktejlu“ výjimek:
Kdykoli můžete, opusťte výchozí nastavení Výchozí blokování příchozích připojení bránou firewall systému Windows je základním bezpečnostním opatřením a mělo by být zmírněno pouze ve velmi odůvodněných případech.
Když povolíte službu, která potřebuje naslouchat v síti, vytvořte pravidla ve všech třech profilechAktivujte ale pouze ty nezbytné. Pokud bude například aplikace používána pouze v privátních sítích, můžete mít definici připravenou pro doménu, privátní a veřejnou, ale skupinu pravidel povolit pouze pro privátní profil.
Upravte vzdálené adresy podle profilu a mapovat topologii LAN V případě potřeby. Služba určená pouze pro lokální síť (domácí nebo malou firmu) by měla být v soukromých a veřejných profilech omezena na lokální podsíť, zatímco v doménovém profilu je obvykle méně omezující v rámci podnikové sítě. Tato omezení nepoužívejte na aplikace, které vyžadují globální přístup k internetu.
Při vytváření pravidel pro vstup buďte co nejopatrnější. konkrétní, které můžeteVyhněte se však mikrosprávě jednotlivých portů, pokud to nepřináší žádnou přidanou hodnotu. Někdy je lepší definovat souvislé rozsahy, aby se zabránilo tomu, že by firewall musel spravovat obrovské množství filtrů, což by mohlo ovlivnit výkon.
Každé pravidlo důkladně zdokumentujte: které aplikace se týká, kterých portů, kterých profilů a především K čemu to bylo vytvořeno? A k jakému datu. Tato informace je neocenitelná, když o několik měsíců později budete potřebovat zásady přezkoumat nebo upřesnit.
Specifické aspekty týkající se pravidel pro odchod
Ve většině domácností a mnoha podniků je běžné, že politika odchodu Použijte možnost „Povolit“ a vytvářejte pravidla pouze pro blokování konkrétních věcí. To výrazně zjednodušuje nasazení aplikace.
V prostředích, kde má bezpečnost přednost před pohodlím, však může být užitečné nakonfigurovat firewall tak, aby Ve výchozím nastavení blokovat všechny výstupyV takovém případě musí mít každá aplikace, která se potřebuje připojit, své vlastní pravidlo oprávnění.
Aby tento model fungoval, aniž by se stal noční můrou, je nezbytné udržovat aktualizovaný inventář softwaru a zaznamenávají, které z nich mají síťové připojení a jaký typ. Na základě toho administrátoři vytvářejí a distribuují centralizovaná pravidla, která obvykle blokují vše, co není na seznamu povolených položek.
Základní služby pro fungování firewallu
Součást brány firewall systému Windows s pokročilým zabezpečením se spoléhá na několik systémové službyPokud některý z těchto bodů nefunguje, firewall se může chovat nepravidelně nebo jednoduše nefungovat:
- Základní filtrační modul.
- Klient skupinových zásad.
- Moduly pro vytváření klíčů IPsec pro IKE a AuthIP.
- Asistent IP.
- Agent zásad IPsec.
- Rozpoznávání polohy v síti.
- Služba seznamů sítí.
- Brána firewall systému Windows.
Pokud se vyskytují neobvyklé problémy s firewallem (pravidla se neaplikují, zásady se nestahují z objektů zásad skupiny atd.), je vhodné zkontrolovat Správce služeb že všechny tyto služby běží a mají správný typ spouštění.
Audit, záznamy a sběr dat
Pro ladění složitých problémů je velmi užitečné aktivovat bezpečnostní audit související s firewallem a IPsec a nakonfigurovat soubor protokolu, který zanechává stopu povolených a blokovaných připojení.
Nástroj příkazového řádku auditpol.exe To vám umožňuje povolit nebo zakázat kategorie a podkategorie událostí auditu. Kategorie můžete například uvést takto:
auditpol.exe /seznam /kategorie
A podkategorie konkrétní kategorie (například Změna zásad) si můžete zobrazit pomocí:
auditpol.exe /list /category:»Změna zásad»
Chcete-li aktivovat kategorii a podkategorii, použijte:
auditpol.exe /set /category:»NázevKategorie» /SubCategory:»NázevPodkategorie»
Pokud jde o soubor protokolu firewallu, můžete ho otevřít z pokročilé konzole. Vlastnosti firewallu Poté na každé kartě profilu (doména, soukromý, veřejný) klikněte v sekci protokolování na „Přizpůsobit“. Zde definujete cestu k souboru a jeho název, maximální velikost (mezi 1 a 32 767 KB) a to, zda chcete protokolovat zahozené pakety, úspěšná připojení nebo obojí.
Pro hlubší analýzu a audit vaší místní sítěJe také dobrý nápad generovat statistiky sítě a seznamy procesů: příkazy jako „netstat -ano > netstat.txt“ a „tasklist /svc > tasklist.txt“ umožňují křížové odkazování na otevřené porty, PID a nainstalované služby, což pomáhá identifikovat, který proces je zodpovědný za konkrétní provoz.
V podnikovém prostředí nabízí Microsoft podpůrné skripty, jako například TSS.ps1 (scénář NET_WFP), které shromažďují pokročilé trasování z filtrovací platformy a balí je do souboru ZIP v adresáři C:\MS_DATA, připraveného k odeslání na podporu.
Celkově vzato, pochopení a využití pokročilá pravidla brány firewall systému Windows Umožňuje vám jít daleko za hranice pouhého „zapnutí nebo vypnutí firewallu“. Kombinací pečlivého návrhu pravidel, rozumného používání profilů, jasné politiky pro kombinování direktiv a dobrého systému auditu a protokolování můžete mít jemnou kontrolu nad síťovým provozem, aniž byste obětovali použitelnost zařízení.
