Ko govorimo Požarni zid Windows in njegova napredna pravilaPravzaprav govorimo o eni najpomembnejših plasti obrambe, ki je standardno vgrajena v operacijski sistem. Vendar pa mnogi ljudje vidijo le pojavna opozorila ali klasično sporočilo »Windows je blokiral nekatere funkcije te aplikacije« in malo drugega. Razumevanje notranjega delovanja, določanja prioritet pravil in kaj lahko storimo z naprednimi nastavitvami je tisto, kar pomeni razliko med preprostim »deluje ali ne deluje« in resničnim varnostnim ukrepom. zavestno in varno upravljanje omrežnega prometa.
Poleg običajnega stikala za vklop/izklop lahko požarni zid sistema Windows deluje tudi z omrežni profili, vhodna in odhodna pravila, vrata, IP-naslovi, specifični programi in oznake aplikacijVse to je mogoče nadzorovati iz grafičnega vmesnika, PowerShella ali centraliziranih pravilnikov, zaradi česar je popolnoma veljavno orodje tako za domači računalnik kot za poslovno omrežje s stotinami računalnikov.
Kaj je požarni zid sistema Windows in kaj točno ščiti?
Požarni zid, vgrajen v sistem Windows, deluje kot filter med vašo napravo in katerim koli omrežjem na katerega se povezuje, pa naj bo to internet ali notranji LAN. Spremlja vse dohodne in odhodne pakete ter se na podlagi pravil odloči, ali jih bo dovolil ali blokiral. Analizira vir, cilj, protokol, vrata in vključeni postopek, da sprejme odločitev.
Njegovo osnovno vedenje temelji na privzeti pravilnik blokiranja za dohodne povezaveTo pomeni, da je sprejet samo promet, ki ustreza izrecnemu pravilu dovoljenja. Pri odhodnem prometu je v večini scenarijev privzeto vse dovoljeno, razen če je drugače konfigurirano, kar za povprečnega uporabnika močno poenostavi stvari.
Ena velika prednost je, da požarni zid pride privzeto omogočeno in popolnoma integrirano v operacijski sistemPosodablja se prek storitve Windows Update in ne zahteva nameščanja programske opreme drugih proizvajalcev za osnovne potrebe omrežne varnosti. Poleg tega ne le spremlja promet »od zunaj«, ampak tudi nadzoruje Kako nameščene aplikacije komunicirajo z zunanjim svetom?pomagajo pri odkrivanju sumljivega vedenja.
Omrežni profili: domena, zasebno in javno
Za prilagoditev zaščite kontekstu Windows deluje z Tri vrste omrežnih profilov: domenski, zasebni in javniGlede na aktivni profil veljajo različna pravila in omejitve.
Javna omrežja (letalski Wi-Fi, kavarne, hoteli itd.) veljajo za najmanj zanesljivo okolje, zato požarni zid uporablja bolj restriktivne politike glede dohodnih povezavZaradi tega druge naprave v istem omrežju težje vidijo vašo napravo ali se poskušajo povezati z njo brez dovoljenja.
Zasebna omrežja se uporabljajo za zaupanja vredna okolja, kot sta domače omrežje ali majhna pisarnaTukaj je na omrežju dovoljeno malo več "družabnega življenja": skupna raba tiskalnikov, datotek ali naprav je preprostejše, čeprav raven varnosti ostaja visoka. Nenazadnje je profil domene zasnovan za podjetja, ki upravljajo svojo opremo prek Active Directory in centralizirane politiketako da se pravila in izjeme nadzorujejo iz IT-ja z uporabo rešitev GPO ali MDM.
Kako si ogledati, omogočiti in onemogočiti požarni zid sistema Windows
Najbolj neposreden način za preverjanje trenutnega stanja požarnega zidu je uporaba aplikacije Varnost WindowsV meniju Start ga lahko odprete in poiščete razdelek »Požarni zid in zaščita omrežja«. Tam boste videli aktivni profil (domena, zasebni ali javni) in ali je požarni zid Microsoft Defender omogočen ali onemogočen.
Iz vsakega profila lahko aktivirajte ali deaktivirajte zaščito s preprostim stikalomNašli boste tudi možnost »Blokiraj vse dohodne povezave, vključno s tistimi s seznama dovoljenih aplikacij«. Če potrdite to polje, požarni zid prezre celo izjeme in blokira ves dohodni promet, kar povzroči nepravilno delovanje številnih aplikacij. To je uporaben ukrep v okoljih z visokim tveganjem ali za občasno testiranje.
Druga možnost za uporabnike, ki so bolj vajeni klasičnega vmesnika, je Nadzorna plošča, v razdelku Sistem in varnost → Požarni zid WindowsTam si lahko ogledate stanje glede na vrsto omrežja in ločeno aktivirate ali deaktivirate požarni zid za zasebna in javna omrežja ter dostopate do naprednih možnosti.
Za skrbnike in napredne uporabnike je požarni zid lahko tudi upravljanje iz ukazne vrstice ali PowerShellaTo omogoča avtomatizirano uvajanje, dosledne konfiguracije v več ekipah in dokumentiranje vseh sprememb v skriptih, ki so integrirani na primer v DevOps cevovode.
Zasebna in javna omrežja: kaj se spreminja na področju varnosti
Ko se povežete z omrežjem, vas Windows običajno vpraša, ali ga želite obravnavati kot omrežje. zasebno omrežje ali javno omrežjeTa odločitev ni estetska: določa, katera pravila veljajo in koliko izpostavljenosti ima vaša naprava v primerjavi z drugimi napravami.
Praviloma se zasebno omrežje izbere, kadar Poznaš in zaupaš povezanim napravamna primer vaš dom ali majhna pisarna. V tem kontekstu je običajno priročno, da druge ekipe vidijo vašo za skupno rabo virov. Nasprotno pa je javno omrežje katero koli zunanje omrežje, kjer Ne nadzorujete, kdo drug je povezan.Pomembno je, da vaša ekipa ostane čim bolj neopažena.
Temeljna dobra praksa je Pri povezovanju z javnimi omrežji ne onemogočite požarnega ziduRavno nasprotno, tukaj je najbolj smiselno ohraniti konfiguracijo čim bolj strogo in se izogniti odpiranju nepotrebnih vrat ali omogočanju nepotrebnih storitev.
Dodatne možnosti v programu Varnost sistema Windows
V razdelku »Požarni zid in zaščita omrežja« boste našli več možnosti, ki razširjajo vaše zmožnosti, ne le vklop ali izklop:
- Dovolite aplikaciji skozi požarni zidTukaj upravljate slavni seznam »dovoljenih aplikacij«. Če požarni zid blokira program, ki ga potrebujete, lahko dodate izjemo in določite, ali lahko komunicira prek zasebnih omrežij, javnih omrežij ali obojega, ali pa odprete določena vrata. Upoštevajte tveganja odpiranja preveč vrat.
- Obvestila požarnega ziduOdločite se lahko, ali želite več ali manj obvestil, ko je nekaj blokirano. Zmanjšanje obvestil se sicer izogne nadlogam, lahko pa tudi povzroči, da spregledate pomembne blokade.
- Napredne nastavitveS tem se odpre klasična konzola »Požarni zid Windows Defender z napredno varnostjo«, kjer ustvarjate in upravljate pravila za dohodni in odhodni promet, pravila za varnost povezave in dnevnike spremljanja. To je ključno orodje za delo z naprednimi pravili.
- Obnovite požarne zidove na privzete vrednostiTa možnost je uporabna, ko se sistem zaradi nakopičenih sprememb začne obnašati nepravilno. Konfiguracijo obnovi v prvotno stanje, čeprav se ponovno uporabijo morebitne organizacijske politike.
Pravila za vstop in izstop: kako delujejo in kako so določena njihova prednostna naloga
Jedro požarnega zidu temelji na dveh velikih sklopih pravil: vhodna in odhodna pravilaVsak od njih določa, kateri promet je dovoljen ali blokiran pod določenimi pogoji.
Dohodna pravila nadzorujejo promet, ki doseže vaš računalnik iz omrežja. Privzeto je uporabljeno naslednje vedenje: blokiranje tistega, kar ni izrecno dovoljenoOdhodna pravila delujejo ravno nasprotno: nadzorujejo, katere povezave so dovoljene iz vašega računalnika navzven. V večini domačih nastavitev so običajno odprta in blokirane so le zelo specifične stvari.
Pri razpravi o naprednih pravilih je ključnega pomena razumeti prednost ali prioriteta med pravili ko se za isti promet lahko uporabi več. Požarni zid Windows sledi tem načelom:
- Pravilo »eksplicitnega« dovoljenja ima prednost pred privzetim generičnim blokiranjem.
- Če pride do navzkrižja med pravili, eno Pravilo eksplicitnega blokiranja zmaga nad pravilom dovoljenjaZ drugimi besedami, "ne" ima večjo težo kot "da", ko oba tekmujeta.
- Bolj specifična pravila imajo prednost pred bolj splošnimi, razen če je splošno pravilo eksplicitno pravilo blokiranja, ki se uporabi v skladu s prejšnjo točko. Na primer, pravilo, ki cilja na en sam naslov IP, ima prednost pred pravilom, ki pokriva celoten obseg naslovov IP.
To pomeni, da morate pri oblikovanju svoje politike izogibajte se nenamernemu prekrivanju pravil ki bi lahko blokiral promet, ki ste ga nameravali dovoliti. Pravila za odhodno pošto sledijo popolnoma enakemu vrstnemu redu.
Pravila uporabe in seznam »dovoljenih aplikacij«
Ko namestite aplikacijo, ki potrebuje dostop do omrežja, se običajno zažene zahteva za poslušanje na določenih vratih ali protokoluKer ima požarni zid privzeto blokiranje dohodnih povezav, je za dosego prometa do te aplikacije potrebna izjema.
V mnogih primerih namestitveni program sam ustvari to pravilo požarnega zidu samodejnoČe tega ne storite, bo Windows ob prvem poskusu povezave prikazal opozorilo s prošnjo za dovoljenje, sicer pa boste morali pravilo ustvariti ročno v napredni konzoli ali v razdelku »Dovoli aplikaciji prehod skozi požarni zid«.
V razdelku »dovoljene aplikacije« je prikazan seznam programov, ki lahko komunicirajo v skladu s potrditvenimi polji za zasebna in javna omrežjaČe pa ustvarite napredno pravilo blokiranja za določen program, bo to pravilo lahko preglasi dejstvo, da je aplikacija označena kot dovoljenaBolj specifično pravilo eksplicitnega blokiranja bo imelo prednost pred splošno konfiguracijo seznama, zato v praksi prevlada blokiranje.
Manj intuitivna podrobnost je, da je v primeru ustvarjenih napačnih ali zastarelih pravil morda priporočljivo Odstranite jih, da bo sistem znova zahteval dovoljenje. in ponovno se ustvarijo pravilna pravila. V nasprotnem primeru bo promet ostal blokiran, tudi če je aplikacija prikazana kot »dovoljena«.
Oznake za nadzor aplikacij (PolicyAppId) v pravilih požarnega zidu
V podjetniških okoljih požarni zid Windows podpira Integracija z nadzorom aplikacij z uporabo oznak AppIDNamesto zanašanja na izvedljive poti (ki se lahko spremenijo ali manipulirajo) se za določanje aplikacij, za katere velja posamezno pravilo, uporabljajo oznake, povezane s procesi.
Postopek ima dva koraka. Prvič, Direktiva o nadzoru aplikacij za podjetja To vključuje označevanje želenih aplikacij z identifikatorji PolicyAppId v žetonih procesa. Nato se konfigurirajo pravila požarnega zidu, ki se sklicujejo na te oznake.
To je mogoče storiti na dva glavna načina:
- Z MDM, kot je Microsoft IntuneUporaba ponudnika kriptovalut požarnega zidu (vozlišče PolicyAppId) pri ustvarjanju pravilnika »Pravila požarnega zidu sistema Windows«. Oznaka AppId je nato določena v ustreznem polju.
- Ustvarjanje lokalna pravila s PowerShellom z uporabo ukaza »cmdlet« New-NetFirewallRule in parametra »-PolicyAppId«, kjer je podana oznaka. V teh pravilih je mogoče delati z več uporabniškimi ID-ji.
Ta pristop izboljša varnost in upravljanje, ker Izogiba se zanašanju na absolutne poti in olajša združevanje aplikacij. pod isto oznako, pri čemer se ohranjajo dosledna in enostavno posodabljajo pravila.
Kombinacija lokalnih in aplikacijskih direktiv
Požarni zid Windows vam omogoča nadzor kako so pravila iz različnih virov združenaLokalni pravilniki, direktive MDM ali domenski GPO-ji. Možnost »AllowLocalPolicyMerge« določa, ali se pravila, ki jih lokalno ustvarijo skrbniki ekipe, združijo s pravilniki, prejetimi iz centralnih pravilnikov.
To vedenje je mogoče prilagoditi glede na profil (domena, zasebni in javni) prek CSP požarnega zidu ali konzola GPO »Požarni zid Windows Defender z dodatno varnostjo«V okoljih z visoko stopnjo varnosti je kombinacija lokalnih pravilnikov pogosto onemogočena, da se zagotovi strožji nadzor in prepreči, na primer, da bi aplikacija ustvarila izjeme požarnega zidu brez nadzora.
Vendar pa lahko onemogočanje lokalne kombinacije motijo delovanje aplikacij, ki so odvisne od pravil, ki so samodejno ustvarjena po namestitviZato je ključnega pomena vzdrževati popis programov in storitev, ki potrebujejo odprta vrata, in celo izvajati analizo omrežnega prometa z orodji za zajemanje paketov, kadar je topologija zapletena.
Priporočila za oblikovanje dobrih pravil požarnega zidu
Pri določanju pravilnika je treba upoštevati več smernic, ne glede na to, ali gre za en sam računalnik ali celotno organizacijo:
- Kadar koli je mogoče, ohranite privzete nastavitveOsnovno delovanje blokiranja dohodnih povezav je zasnovano tako, da varno pokriva večino scenarijev.
- Ustvarite pravila v vseh treh profilih, vendar jih omogočite le, kjer je to primerno.Na primer, aplikacija za skupno rabo, ki je smiselna le v zasebnem omrežju, ima lahko pravila definirana za vse tri profile, vendar aktivirana le v zasebnem.
- Prilagodite omejitve oddaljenih naslovov glede na profilV domačih ali malih poslovnih omrežjih je običajno dobro omejiti povezave na lokalno podomrežje, medtem ko v profilu domene ta omejitev morda ni primerna. Za storitve, ki zahtevajo globalni dostop do interneta, omejitev oddaljenih IP-naslovov ne smete dodajati.
- Bodite čim bolj natančni pri pravilih za prijavoČe pa potrebujete več vrat ali IP-naslovov, razmislite o uporabi obsegov ali podomrežij namesto posameznih naslovov. To zmanjša število notranjih filtrov, poenostavi konfiguracijo in izboljša delovanje.
- Vsako pravilo dokumentirajte s ključnimi podrobnostmiTa dokumentacija vključuje aplikacijo, na katero vpliva, uporabljena vrata, njen namen in datum nastanka. Nepogrešljiva je pri kasnejšem odpravljanju težav ali razhroščevanju.
- Izjeme omejite na storitve in aplikacije z legitimnim namenom.Podeljevanje dovoljenj »za vsak slučaj« poveča površino napada, ne da bi pri tem dodalo vrednost.
Znane težave s samodejnim ustvarjanjem pravil
Ko pravila za omrežne aplikacije niso vnaprej konfigurirana in je sistem prepuščen temu, da stvari obravnava »sproti«, lahko nastanejo precej zapletene situacije. Za začetek, Samodejno ustvarjanje pravil med izvajanjem običajno zahteva skrbniške pravice in interakcijo uporabnika..
Nekaj tipičnih primerov je:
- Uporabnik z zadostnimi pravicami prejme obvestilo, da želi aplikacija spremeniti pravilnik požarnega zidu. Ne razume sporočila in ga zapre ali prekličeRezultat: Pravila blokiranja so ustvarjena.
- Dohodna obvestila so onemogočena. Uporabnik ne vidi nobenih obvestil, pravila za dovoljenja niso ustvarjena in promet je blokiran s privzetim pravilom blokiranja.
- Uporabnik brez skrbniških dovoljenj prejme sporočilo, da dovoli spremembe. Ne glede na to, kaj naredim, ne morem ustvariti pravila za dovoljenja in sistem na koncu ustvari pravila blokiranja.
- Uporabnik brez privilegijev in brez omogočenih obvestil sploh ni obveščen. Pravila za dovoljenja niso ustvarjena in vse je blokirano.
- Kombinacija lokalnih pravilnikov je onemogočena, kar aplikaciji preprečuje ustvarjanje lastnih lokalnih pravil, tudi če uporabnik potrdi.
V okoljih, kjer uporabniki delajo brez skrbniških pravic, je najprimernejše, da to storite Pred prvo uporabo konfigurirajte potrebna pravila in onemogočite dohodna obvestila, da se izognete zmedi in improviziranim pravilom, ki na koncu blokirajo tisto, kar bi moralo delovati.
Posebni vidiki pravil o izstopu
Spreminjanje pravilnika o izhodu lahko močno poveča raven nadzora, lahko pa tudi Zaradi tega je vsakodnevno upravljanje precej zapleteno.Nekaj splošnih smernic:
- V zelo strogih varnostnih okoljih se lahko šteje Spremenite delovanje tako, da bodo odhodne povezave privzeto blokiraneVendar pa pri vhodu nikoli ni priporočljivo storiti nasprotnega (dovoliti vse in blokirati le tisto, kar je nadležno).
- Za večino uvajanj, Omogočanje privzetega izhoda poenostavi namestitev in uporabo aplikacijeLe organizacije, ki dajejo prednost maksimalnemu nadzoru pred enostavno uporabo, bi morale tukaj poostriti omejitve.
- Če se odločite za blokiranje izhodov, je to nujno Vzdržujte popis aplikacij in vedite, katere potrebujejo povezljivostustvarjanje posebnih pravil za vsakega prek GPO ali CSP, da je vse obvladljivo.
Napredno upravljanje požarnega zidu z uporabo konzole in PowerShella
Konzola »Požarni zid sistema Windows z napredno varnostjo« je osrednje vozlišče za tiste, ki potrebujejo več kot le osnovne varnostne funkcije. Dostop do naslednjega je na voljo v levi plošči: Pravila vstopa, pravila izstopa, pravila varnosti povezave in spremljanjeTukaj lahko ustvarite nova pravila, omogočite ali onemogočite obstoječa, pregledate, kateri profili so aktivni, in aktivirate beleženje dogodkov za analizo, kateri promet je dovoljen ali blokiran.
Ključni vidik je, da Pravila je mogoče aktivirati ali deaktivirati, ne da bi jih izbrisali.To omogoča testiranje brez izgube konfiguracije. Prav tako lahko prilagodite specifičnost pravil, da jim učinkovito določite prioritete, pri čemer vedno upoštevajte, da ima v konfliktih prednost eksplicitni blok.
Po drugi strani pa PowerShell ponuja veliko zmogljivejši in ponovljiv način za obravnavo vsega tega, zlasti v IT okoljih. Z New-NetFirewallRule Ustvarjena so nova pravila (na primer dovoljenje HTTP na vratih 80) z Get-NetFirewallRule Navedena so obstoječa pravila, medtem ko Set-NetFirewallRule, Omogoči pravilo NetFirewallRule, Onemogoči pravilo NetFirewallRule y Odstrani pravilo NetFirewallRule Omogočajo vam, da jih po potrebi spremenite, omogočite ali izbrišete.
Ukazi, kot so Test-NetConnection So zelo uporabni za Preveri povezljivost do določenih vrat in beleženje rezultatov v postopkih uvajanja ali revizije. Dobre prakse vključujejo uporabo opisna imena, pravila združevanja po namenu ali uporabiDoločite politike najmanjših privilegijev in vzdržujte jasen dnevnik sprememb. V kritičnih projektih so ta pravila integrirana v cevovode CI/CD in so podvržena avtomatiziranim varnostnim pregledom.
Pogoste težave z požarnim zidom sistema Windows
Pri vsakodnevni uporabi so najpogostejši incidenti povezani z aplikacije, ki prenehajo vzdrževati povezavo z internetom ali lokalnim omrežjem brez kakršne koli očitne razlage. V mnogih primerih je težava v preveč omejevalnem pravilu požarnega zidu, blokiranih vratih ali slabo ustvarjeni izjemi.
Rešitev redko vključuje onemogočanje požarnega zidu. Je veliko bolj smiselna. Preglejte napredne nastavitve in preverite pravila za dohodno in odhodno pošto za prizadeto aplikacijo. in po potrebi to izrecno dovolite. Do napak lahko pride tudi pri omogočanju ali onemogočanju požarnega zidu, če se povezane storitve ne izvajajo, je namestitev poškodovana ali če obstajajo konflikti z drugimi komponentami.
Ko protivirusni program ali varnostni paket z lastnim požarnim zidomPogosto pride do trenja. Hkrati ni priporočljivo vzdrževati aktivnih dveh požarnih zidov, saj lahko to povzroči težko diagnosticirane blokade, občasne prekinitve povezave in celo preobremenitev virov. Varnostna programska oprema drugih proizvajalcev običajno onemogoči vgrajeni požarni zid, vendar je to vedno dobro preveriti ročno.
Kdaj obnoviti privzete nastavitve
Če so se sčasoma nakopičile na ducate ročnih pravil, testov, začasnih izjem in sprememb profilovLahko pride do točke, ko postane zelo težko razumeti, zakaj nekaj preneha delovati. V teh primerih je lahko obnovitev privzetih nastavitev požarnega zidu razumna rešitev.
S tem sistem Odstranite pravila po meri in vrnite pravilnik v prvotno stanje.To ne bo vplivalo na nameščene programe ali druge komponente sistema Windows. Vendar pa bo treba ponovno podeliti dovoljenja aplikacijam, ki zahtevajo dostop do omrežja, v okoljih s pravilniki organizacije pa bodo ti pravilniki preneseni in ponovno uporabljeni.
Najboljše prakse za vsakodnevno uporabo požarnega zidu sistema Windows
Poleg tehničnih podrobnosti učinkovita uporaba požarnega zidu vključuje vrsto navad, ki jih je treba ponotranjiti:
- Požarni zid naj bo vedno omogočen.še posebej na prenosnikih in napravah, ki pogosto preklapljajo med omrežji. Ni pravega razloga, da bi ga trajno izklopili.
- Ustvarite pravila po meri le, kadar so resnično potrebna in jih redno pregledujte, da odstranite tiste, ki so zastareli ali neuporabljeni.
- Izogibajte se onemogočanju zaščite v javnih omrežjihčetudi le začasno, razen če gre za strogo nadzorovano testno okolje.
- Dopolnite požarni zid z drugimi varnostnimi plastmi: posodobljen protivirusni program, posodobljen operacijski sistem in dobre navade brskanja in prenašanja.
Kombinacija dobro zasnovanih pravil, ustreznih omrežnih profilov, avtomatizacije PowerShella, kjer je to primerno, in jasnega pravilnika o tem, kaj je in kaj ni dovoljeno, naredi požarni zid Windows zelo robustno orodje tako za domače uporabnike kot za skrbnike. Razumevanje, kako so seznam dovoljenih aplikacij, napredna pravila, prednost blokiranja in različni profili medsebojno povezani, vam omogoča, da zaščito natančno prilagodite svojim potrebam, ne da bi pri tem ogrozili varnost ali žrtvovali funkcionalnost sistema. Delite te informacije, da se bo o temi lahko seznanilo več uporabnikov.