Kui me räägime Windowsi tulemüür ja selle täpsemad reeglidTegelikult peame silmas ühte kõige olulisemat kaitsekihti, mis on operatsioonisüsteemiga standardvarustuses. Paljud inimesed näevad aga ainult hüpikaknaid või klassikalist teadet „Windows on blokeerinud mõned selle rakenduse funktsioonid” ja mitte midagi muud. See, kuidas see sisemiselt toimib, kuidas reegleid prioriseeritakse ja mida saame täpsemate sätetega teha, teeb vahet lihtsa „töötab või ei tööta” ja tõelise turvameetme vahel. võrguliikluse teadlik ja turvaline haldamine.
Lisaks tavapärasele sisse/välja lülitile on Windowsi tulemüür võimeline töötama ka võrguprofiilid, sissetulevad ja väljaminevad reeglid, pordid, IP-aadressid, konkreetsed programmid ja rakenduste sildidKõike seda saab juhtida graafilise liidese, PowerShelli või tsentraliseeritud poliitikate kaudu, mis teeb sellest täiesti sobiva tööriista nii koduarvuti kui ka sadade arvutitega ettevõtte võrgu jaoks.
Mis on Windowsi tulemüür ja mida see täpselt kaitseb?
Windowsi sisseehitatud tulemüür toimib kui filtri teie seadme ja mis tahes võrgu vahel millega see ühendub, olgu selleks internet või sisemine kohtvõrk. See jälgib kõiki sissetulevaid ja väljaminevaid pakette ning otsustab reeglite põhjal, kas need lubada või blokeerida. Otsuse langetamiseks analüüsib see allikat, sihtkohta, protokolli, porti ja kaasatud protsessi.
Selle põhikäitumine põhineb a-l sissetulevate ühenduste vaikimisi blokeerimispoliitikaSee tähendab, et aktsepteeritakse ainult selgesõnalisele lubamisreeglile vastavat liiklust. Väljamineva liikluse puhul on enamikul juhtudel kõik vaikimisi lubatud, kui pole teisiti konfigureeritud, mis lihtsustab asju tavakasutaja jaoks oluliselt.
Üks tohutu eelis on see, et tulemüür on kaasas vaikimisi lubatud ja täielikult operatsioonisüsteemi integreeritudSee värskendatakse Windows Update'i kaudu ja ei nõua võrgu põhiturbevajaduste rahuldamiseks kolmanda osapoole tarkvara installimist. Lisaks sellele ei jälgi see mitte ainult väljastpoolt tulevat liiklust, vaid ka kontrollib seda. Kuidas installitud rakendused välismaailmaga suhtlevad?aidates tuvastada kahtlast käitumist.
Võrguprofiilid: domeen, privaatne ja avalik
Kaitse kontekstile kohandamiseks töötab Windows koos Kolm tüüpi võrguprofiile: domeeni-, privaatsed ja avalikudSõltuvalt aktiivsest profiilist kehtivad erinevad reeglid ja piirangud.
Avalikke võrke (lennujaama WiFi, kohvikud, hotellid jne) peetakse kõige vähem usaldusväärseks keskkonnaks, seega rakendab tulemüür sissetulevate ühenduste suhtes rangemad eeskirjadSee raskendab teistel samas võrgus olevatel seadmetel teie seadme nägemist või sellega loata ühenduse loomist.
Privaatvõrke kasutatakse selleks, et usaldusväärsetes keskkondades, näiteks koduvõrgus või väikeses kontorisSiin on võrgus lubatud veidi rohkem "seltskondlikku elu": jaga printereid, faile või seadmete haldamine on lihtsam, kuigi turvalisuse tase on endiselt kõrge. Lõpuks on domeeniprofiil loodud ettevõtetele, kes haldavad oma seadmeid läbi Active Directory ja tsentraliseeritud poliitikadnii et reegleid ja erandeid kontrollitakse IT-osakonna poolt GPO või MDM-lahenduste abil.
Windowsi tulemüüri kuvamine, lubamine ja keelamine
Kõige otsesem viis tulemüüri praeguse oleku kontrollimiseks on rakenduse kasutamine Windowsi turvalisusMenüüst Start saate selle avada ja minna jaotisse „Tulemüür ja võrgukaitse”. Seal näete aktiivset profiili (domeen, privaatne või avalik) ja seda, kas Microsoft Defenderi tulemüür on lubatud või keelatud.
Igast profiilist saate Kaitse aktiveerimine või deaktiveerimine lihtsa lülitigaSamuti leiate valiku „Blokeeri kõik sissetulevad ühendused, sealhulgas lubatud rakenduste loendist pärit ühendused”. Selle kasti märkimisel ignoreerib tulemüür isegi erandeid ja blokeerib kogu sissetuleva liikluse, mille hinnaga paljud rakendused rikki lähevad. See on kasulik meede kõrge riskiga keskkondades või aeg-ajalt testimiseks.
Teine võimalus kasutajatele, kes on harjunud klassikalise liidesega, on Juhtpaneel, jaotises Süsteem ja turvalisus → Windowsi tulemüürSeal näete võrgu tüübi olekut ning saate tulemüüri eraldi privaatsete ja avalike võrkude jaoks aktiveerida või deaktiveerida, samuti saate juurde pääseda täpsematele valikutele.
Administraatoritele ja edasijõudnutele kasutajatele saab tulemüüri ka halda käsurealt või PowerShelli kauduSee võimaldab automatiseeritud juurutusi, ühtseid konfiguratsioone mitme meeskonna vahel ja kõigi muudatuste dokumenteerimist skriptides, mis on integreeritud näiteks DevOpsi torujuhtmetesse.
Privaatsed ja avalikud võrgud: mis muutub turvalisuse osas
Võrguga ühenduse loomisel küsib Windows tavaliselt, kas soovite seda võrguna käsitleda. privaatvõrk või avalik võrkSee otsus ei ole esteetiline: see määrab, millised reeglid kehtivad ja kui palju kokkupuudet teie seade teiste seadmetega võrreldes on.
Üldreeglina valitakse privaatvõrk siis, kui Sa tead ja usaldad ühendatud seadmeidnäiteks teie kodu või väike kontor. Selles kontekstis on teistel meeskondadel tavaliselt mugav teie oma näha ja ressursse jagada. Seevastu avalik võrk on iga väline võrk, kus Sa ei kontrolli, kes veel ühendatud on.On oluline, et teie meeskond jääks võimalikult märkamatuks.
Hea põhitava on Ärge keelake tulemüüri avalike võrkudega ühenduse loomiselVastupidi, just siin on kõige mõistlikum hoida konfiguratsioon võimalikult rangena ning vältida ebavajalike portide avamist või ebavajalike teenuste lubamist.
Lisavalikud Windowsi turbes
„Tulemüüri ja võrgukaitse” alt leiad mitu valikut, mis laiendavad sinu võimalusi peale selle sisse- või väljalülitamise:
- Lubage rakendus läbi tulemüüriSiin saate hallata kuulsat "lubatud rakenduste" nimekirja. Kui tulemüür blokeerib vajaliku programmi, saate lisada erandi, määrates, kas see saab suhelda privaatvõrkude, avalike võrkude või mõlema kaudu, või saate avada konkreetse pordi. Pidage meeles liiga paljude portide avamise riske.
- Tulemüüri teavitusedSaate otsustada, kas soovite rohkem või vähem teavitusi, kui midagi on blokeeritud. Teavituste vähendamine aitab vältida tüütust, kuid see võib põhjustada ka oluliste blokkide vahelejätmist.
- Täpsemad seadedSee avab klassikalise konsooli „Windows Defenderi tulemüür täiustatud turvalisusega”, kus saate luua ja hallata sissetulevate ja väljaminevate ühenduste reegleid, ühenduse turvareegleid ja jälgimislogisid. See on peamine tööriist täiustatud reeglitega töötamiseks.
- Taasta tulemüürid vaikeväärtusteleSee valik on kasulik, kui süsteem hakkab kogunenud muudatuste tõttu ebaregulaarselt käituma. See taastab konfiguratsiooni algsele olekule, kuigi kõik organisatsioonipoliitikad rakendatakse uuesti.
Sisenemis- ja väljumisreeglid: kuidas need toimivad ja kuidas neid tähtsuse järjekorda seatakse
Tulemüüri tuum põhineb kahel suurel reeglistikul: Sissetulevate ja väljaminevate reegliteIgaüks neist määratleb, milline liiklus on teatud tingimustel lubatud või blokeeritud.
Sissetuleva liikluse reeglid kontrollivad võrgust teie arvutisse jõudvat liiklust. Vaikimisi rakendatakse järgmist käitumist: blokeerimine selle jaoks, mis pole otseselt lubatudVäljaminevate ühenduste reeglid toimivad vastupidiselt: need kontrollivad, millised ühendused on teie arvutist välismaailmaga lubatud. Enamikus kodusüsteemides hoitakse neid üldiselt avatuna ja blokeeritakse ainult väga kindlad asjad.
Täiustatud reeglite arutamisel on oluline mõista, reeglite vaheline eelistus või prioriteet kui sama liikluse kohta võib kehtida mitu. Windowsi tulemüür järgib järgmisi põhimõtteid:
- „Selgesõnaline” loa reegel on ülimuslik vaikimisi üldise blokeerimise suhtes.
- Kui reeglite vahel on vastuolu, siis üks Selgesõnaline blokeerimisreegel võidab loareegli vastuTeisisõnu, "ei"-l on suurem kaal kui "jah", kui mõlemad konkureerivad.
- Täpsemad reeglid on ülimuslikud üldisemate reeglite suhtes, välja arvatud juhul, kui üldine reegel on eelmise punkti kohaselt kehtiv selgesõnaline blokeerimisreegel. Näiteks reeglil, mis on suunatud ühele IP-aadressile, on ülimuslikkus reegli ees, mis hõlmab kogu IP-vahemikku.
See tähendab, et oma poliitika kavandamisel peate vältida reeglite tahtmatuid kattumisi mis võib blokeerida liikluse, mille kavatsesite lubada. Väljaminevad reeglid järgivad täpselt sama eelistuspõhimõtet.
Rakenduseeskirjad ja lubatud rakenduste loend
Kui installite rakenduse, mis vajab võrguühendust, käivitab see tavaliselt kuulamispäring kindlal pordil või protokollilKuna tulemüüril on sissetulevate ühenduste puhul vaikimisi blokeerimistoiming, on selle rakenduseni jõudmiseks vaja erandit.
Paljudel juhtudel loob selle paigaldaja ise tulemüüri reegel automaatseltKui te seda ei tee, kuvab Windows esimesel ühenduse loomise katsel loa küsiva hoiatuse ja vastasel juhul peate reegli käsitsi looma täpsema konsooli või jaotise „Luba rakendus läbi tulemüüri” kaudu.
Jaotises „lubatud rakendused” kuvatakse nimekiri programmidest, mis saavad suhelda vastavalt märkeruutudele. privaatsed ja avalikud võrgudKui aga loote konkreetse programmi jaoks täpsema blokeerimisreegli, siis see reegel saab tühistada asjaolu, et rakendus on märgitud lubatuksTäpsem selgesõnaline blokeerimisreegel on ülimuslik üldise loendikonfiguratsiooni suhtes, seega praktikas on blokeerimine ülimuslik.
Üks vähem intuitiivne detail on see, et kui on loodud ekslikke või aegunud reegleid, võib olla soovitatav Eemaldage need, et süsteem uuesti luba küsiks. ja õiged reeglid genereeritakse uuesti. Vastasel juhul jääb liiklus blokeerituks isegi siis, kui rakendus kuvatakse kui "lubatud".
Rakenduse juhtimise sildid (PolicyAppId) tulemüürireeglites
Ettevõttekeskkondades toetab Windowsi tulemüür järgmist: Integratsioon rakenduste juhtimisega rakenduse ID siltide abilKäivitatavatele radadele (mida saab muuta või manipuleerida) tuginemise asemel kasutatakse protsessidega seotud silte, et määratleda, millistele rakendustele iga reegel kehtib.
Protsessil on kaks etappi. Esiteks a Rakenduste kontrolli direktiiv ettevõtetele See hõlmab soovitud rakenduste märgistamist protsessi tunnustes olevate PolicyAppId identifikaatoritega. Seejärel konfigureeritakse tulemüüri reeglid, mis viitavad neile siltidele.
Seda saab teha kahel peamisel viisil:
- Mis MDM, näiteks Microsoft IntuneWindowsi tulemüüri reeglite poliitika loomisel kasutatakse tulemüüri CSP-d (PolicyAppId sõlme). Seejärel määratakse AppId silt vastaval väljal.
- Loomine kohalikud reeglid PowerShelliga kasutades cmdlet-käsku New-NetFirewallRule ja parameetrit -PolicyAppId, kus on määratud silt. Nendes reeglites on võimalik töötada mitme kasutaja ID-ga.
See lähenemisviis parandab ohutust ja juhtimist, sest See väldib absoluutsetele radadele tuginemist ja lihtsustab rakenduste rühmitamist. sama sildi all, säilitades ühtsed ja hõlpsasti ajakohastatavad reeglid.
Kohalike ja rakendusdirektiivide kombinatsioon
Windowsi tulemüür võimaldab teil kontrollida kuidas eri allikatest pärit reegleid kombineeritakseKohalikud poliitikad, MDM-direktiivid või domeeni GPO-d. Suvand „AllowLocalPolicyMerge” määrab, kas meeskonna administraatorite loodud kohalikud reeglid liidetakse kesksetest poliitikatest saadud reeglitega.
Seda käitumist saab profiili (domeen, privaatne ja avalik) abil reguleerida Tulemüüri CSP või "Windows Defenderi tulemüür täiustatud turvalisusega" GPO konsoolKõrge turvalisusega keskkondades on kohalike poliitikate kombinatsioon sageli keelatud, et tagada rangem kontroll ja takistada näiteks rakendusel järelevalveta tulemüüri erandite loomist.
Kohaliku kombinatsiooni keelamine võib aga häirida rakenduste tööd, mis sõltuvad pärast installimist automaatselt genereeritud reeglitestSeetõttu on kriitilise tähtsusega pidada nimekirja programmidest ja teenustest, mis vajavad avatud porte, ning isegi teha võrguliikluse analüüsi pakettide püüdmise tööriistade abil, kui topoloogia on keeruline.
Soovitused heade tulemüürireeglite kujundamiseks
Reeglite poliitika määratlemisel, olgu see siis ühe arvuti või terve organisatsiooni jaoks, tuleb järgida mitmeid juhiseid:
- Säilita võimaluse korral vaikesättedSissetulevate ühenduste blokeerimise põhikäitumine on loodud enamiku stsenaariumide turvaliseks katmiseks.
- Looge reeglid kõigis kolmes profiilis, kuid lubage need ainult vajaduse korral.Näiteks jagamisrakendusel, millel on mõtet ainult privaatvõrgus, võivad olla reeglid määratletud kõigi kolme profiili jaoks, kuid aktiveeritud ainult privaatvõrgus.
- Kohanda kaugaadressi piiranguid vastavalt profiilileKodu- või väikeettevõtte võrkudes on tavaliselt hea mõte piirata ühendusi kohaliku alamvõrguga, samas kui domeeniprofiilis ei pruugi see piirang sobida. Teenuste puhul, mis vajavad globaalset internetiühendust, ei tohiks kaug-IP-piiranguid lisada.
- Sisenemisreeglites olge võimalikult täpneKui aga vajate mitut porti või IP-aadressi, kaaluge üksikute aadresside asemel vahemike või alamvõrkude kasutamist. See vähendab sisemiste filtrite arvu, lihtsustab konfigureerimist ja parandab jõudlust.
- Dokumenteerige iga reegel koos oluliste üksikasjadegaSee dokumentatsioon sisaldab rakendust, mida see mõjutab, kasutatavaid porte, eesmärki ja loomise kuupäeva. See on hindamatu väärtusega hilisemal tõrkeotsingul või vigade parandamisel.
- Piira erandeid teenuste ja rakendustega, millel on õigustatud eesmärk.Õiguste andmine "igaks juhuks" suurendab rünnakupinda ilma väärtust lisamata.
Teadaolevad probleemid automaatse reeglite loomisega
Kui võrgurakenduste reegleid pole eelnevalt konfigureeritud ja süsteem jäetakse asjadega "lennult" tegelema, võivad tekkida üsna keerulised olukorrad. Alustuseks, Reeglite automaatne loomine käitusajal nõuab tavaliselt administraatoriõigusi ja kasutaja sekkumist..
Mõned tüüpilised näited on:
- Piisavate õigustega kasutaja saab teate, et rakendus soovib tulemüüripoliitikat muuta. Ta ei saa sõnumist aru ja sulgeb või tühistab selle.Tulemus: Blokeerimisreeglid on loodud.
- Sissetulevad teavitused on keelatud. Kasutaja ei näe teavitusi, lubade reegleid ei looda ja liiklust blokeerib vaikimisi blokeerimisreegel.
- Administraatoriõigusteta kasutaja saab muudatuste lubamise teate. Ükskõik, mida ma teen, ma ei saa loareeglit luua. ja süsteem genereerib blokeerimisreegleid.
- Kasutajat, kellel puuduvad õigused ja märguanded pole lubatud, ei teavitata isegi. Lubade reegleid ei looda ja kõik on blokeeritud.
- Kohalike poliitikate kombinatsioon on keelatud, mis takistab rakendusel oma kohalike reeglite loomist isegi siis, kui kasutaja annab jaatava vastuse.
Keskkondades, kus kasutajad töötavad ilma administraatoriõigusteta, on kõige soovitatavam teha järgmist. Enne esmakordset kasutamist eelkonfigureerige vajalikud reeglid ja keelake sissetulevad teavitused, et vältida segadust ja improviseeritud reegleid, mis lõpuks blokeerivad selle, mis peaks toimima.
Väljumisreeglite erikaalutlused
Väljumisreeglite poliitika muutmine võib oluliselt suurendada kontrolli taset, aga see võib ka See teeb igapäevase juhtimise üsna keeruliseks.Mõned üldised juhised:
- Väga rangete turvatingimuste korral võib seda kaaluda Muutke käitumist nii, et väljaminevad ühendused oleksid vaikimisi blokeeritudSissepääsu juures ei ole aga kunagi soovitatav teha vastupidist (lubada kõike ja blokeerida ainult seda, mis on tüütu).
- Enamiku juurutuste puhul Vaikimisi väljumise lubamine lihtsustab rakenduste installimist ja kasutamistAinult organisatsioonid, mis seavad maksimaalse kontrolli esikohale kasutusmugavuse ees, peaksid siin piiranguid karmistama.
- Kui otsustate väljapääsud blokeerida, on oluline Pidage rakenduste inventuuri ja teadke, millised neist vajavad ühenduvustluues igaühe jaoks GPO või CSP kaudu konkreetsed reeglid, et kõik hallatavaks muuta.
Täiustatud tulemüüri haldus konsooli ja PowerShelli abil
Konsool „Windowsi tulemüür täiustatud turvalisusega” on keskpunkt neile, kes vajavad enamat kui lihtsalt põhilisi turvafunktsioone. Vasakpoolselt paneelilt pääseb ligi järgmisele: Sisenemisreeglid, väljumisreeglid, ühenduse turvareeglid ja jälgimineSiin saate luua uusi reegleid, lubada või keelata olemasolevaid, vaadata, millised profiilid on aktiivsed, ja aktiveerida sündmuste logimise, et analüüsida, milline liiklus on lubatud või blokeeritud.
Peamine aspekt on see Reegleid saab aktiveerida või deaktiveerida neid kustutamata.See võimaldab testida ilma konfiguratsiooni kaotamata. Samuti saate reeglite täpsust kohandada, et neid tõhusalt tähtsuse järjekorda seada, pidades alati meeles, et konfliktide korral on prioriteet selgesõnalisel plokil.
Teisest küljest pakub PowerShell palju võimsamat ja korduvamat viisi kõige sellega toimetulekuks, eriti IT-keskkondades. Uus-NetFirewallReegel Luuakse uued reeglid (näiteks lubatakse HTTP pordil 80), kus Get-NetFirewallRule Kehtivad reeglid on loetletud, samas kui Set-NetFirewallRule, Enable-NetFirewallRule, Keela-NetFirewallRule y Eemalda NetFirewallRule Need võimaldavad teil neid vastavalt vajadusele muuta, lubada või kustutada.
Käsklused nagu Test-NetConnection Need on väga kasulikud Kontrollige ühenduvust konkreetsetele portidele ja tulemuste registreerimine juurutamis- või auditeerimisprotsessides. Hea tava hõlmab järgmist: kirjeldavad nimed, rühmitamisreeglid eesmärgi või rakenduse järgiMäärake minimaalsete õiguste poliitikad ja pidage selget muudatuste logi. Kriitilistes projektides integreeritakse need reeglid CI/CD torujuhtmetesse ja need läbivad automaatsed turvaülevaated.
Levinud Windowsi tulemüüri probleemid
Igapäevases kasutuses on kõige sagedasemad intsidendid seotud rakendused, mis ei loo enam ühendust Interneti või kohaliku võrguga ilma igasuguse nähtava selgituseta. Paljudel juhtudel peitub probleem liiga piiravas tulemüürireeglis, blokeeritud pordis või halvasti loodud erandis.
Lahendus hõlmab harva tulemüüri keelamist. See on palju mõistlikum. Vaadake üle täpsemad sätted ja kontrollige mõjutatud rakenduse sissetuleva ja väljamineva liikluse reegleid. ja vajadusel lubage see selgesõnaliselt. Tulemüüri lubamisel või keelamisel võib esineda ka vigu, kui seotud teenused ei tööta, install on rikutud või esineb konflikte teiste komponentidega.
Kui a viirusetõrje või turvapakett oma tulemüürigaHõõrdumise teke on tavaline. Kahe tulemüüri samaaegne aktiivsena hoidmine pole hea mõte, kuna see võib põhjustada raskesti diagnoositavaid ummistusi, vahelduvaid ühenduse katkemisi ja isegi ressursside ülekoormust. Kolmanda osapoole turvatarkvara keelab tavaliselt sisseehitatud tulemüüri, kuid alati on hea mõte seda käsitsi kontrollida.
Millal taastada vaikesätted
Kui need on aja jooksul kogunenud kümneid käsitsi reegleid, teste, ajutisi erandeid ja profiilimuudatusiVõib saabuda punkt, kus on väga raske aru saada, miks midagi enam ei tööta. Sellistel juhtudel võib tulemüüri vaikesätete taastamine olla mõistlik lahendus.
Seda tehes süsteem Eemaldage kohandatud reeglid ja taastage poliitika algne olek.See ei mõjuta installitud programme ega muid Windowsi komponente. Siiski on vaja uuesti anda õigused rakendustele, mis vajavad võrguühendust, ning organisatsioonipoliitikatega keskkondades laaditakse need poliitikad uuesti alla ja rakendatakse uuesti.
Windowsi tulemüüri igapäevase kasutamise parimad tavad
Lisaks tehnilistele üksikasjadele hõlmab tulemüüri tõhus kasutamine mitmeid harjumusi, mis tuleks omaks võtta:
- Hoidke tulemüür alati lubatud.eriti sülearvutites ja seadmetes, mis sageli võrke vahetavad. Pole mingit tegelikku põhjust seda jäädavalt välja lülitatuna hoida.
- Loo kohandatud reegleid ainult siis, kui neid tõesti vaja on ja vaadake need perioodiliselt üle, et eemaldada need, mis on vananenud või kasutuseta.
- Vältige avalikes võrkudes kaitse keelamistisegi kui ainult ajutiselt, välja arvatud juhul, kui tegemist on rangelt kontrollitud testimiskeskkonnaga.
- Täienda tulemüüri teiste turvakihtidega: viirusetõrje ajakohane, uuendatud operatsioonisüsteem ning head sirvimis- ja allalaadimisharjumused.
Hästi läbimõeldud reeglite, sobivate võrguprofiilide, PowerShelli automatiseerimise (vajadusel) ja selge lubatud ja keelatud programmide poliitika kombinatsioon muudab Windowsi tulemüüri väga töökindlaks tööriistaks nii kodukasutajatele kui ka administraatoritele. Lubatud rakenduste loendi, täpsemate reeglite, blokeerimise eelistuse ja erinevate profiilide omavahelise seose mõistmine võimaldab teil kaitset oma vajadustele vastavalt häälestada, ilma et see kahjustaks turvalisust või ohverdaks süsteemi funktsionaalsust. Jaga seda infot, et rohkem kasutajaid saaksid selle teema kohta rohkem teada.