- Segmentavimas į zonas (LAN, DMZ, VLAN) ir tikslių ACL naudojimas smarkiai sumažina atakų paviršių serveriuose.
- Tinkamai sukonfigūruota „Windows“ užkarda su išplėstine sauga užtikrina išsamią įeinančio ir išeinančio srauto kontrolę kiekviename kompiuteryje.
- NGFW tinklai sujungia programų filtravimą, IPS, VPN, URL filtravimą ir QoS, kad užtikrintų visapusišką aplinkos apsaugą ir valdymą.
- Reguliarus taisyklių registravimas, auditas ir testavimas yra būtini norint aptikti netinkamas konfigūracijas ir palaikyti ilgalaikį saugumą.
Išplėstinės serverio užkardos konfigūracijos įvaldymas nebėra skirtas tik didelėms korporacijoms. Bet kuri įmonė, rimtai žiūrinti į kibernetinį saugumą, turi suprasti, kaip segmentuoti tinklą, apibrėžti zonas, kurti išsamias taisykles ir maksimaliai išnaudoti tiek perimetro užkardą, tiek pačią „Windows“ užkardą kiekviename kompiuteryje ir serveryje.
Šiame vadove išsamiai sužinosite, kaip veikia naujos kartos užkardos (NGFW) , kaip kurti zonas (LAN, WAN, DMZ, VLAN), kokias taisykles taikyti (programos, prievado, protokolo, IP...), kaip pasinaudoti „Windows“ užkardos su išplėstiniu saugumu privalumais , kokį vaidmenį atlieka tokios priemonės kaip „SimpleWall“ ir kokios geriausios praktikos laikytis, kad visa ši sistema netaptų nevaldoma netvarka.
Naujos kartos užkardos serveriuose: daug daugiau nei prievadų filtravimas
Naujos kartos užkardos, tokios kaip „FortiGate NGFW“ , viename įrenginyje sujungia pažangias tinklo funkcijas ir gilų saugumą. Jos ne tik atidaro ar uždaro prievadus, bet ir analizuoja srautą programos lygmeniu, tikrina užšifruotą turinį ir integruojasi su sudėtingomis debesijos, LAN, WLAN ir nuotolinės prieigos architektūromis.
„FortiGate“ atveju sistemos širdis yra „FortiOS“ – specifinė operacinė sistema, sujungianti saugumo politikas ir tinklo funkcijas: integruotą SD-WAN, universalų ZTNA, srauto valdymą belaidžiuose ir laidiniuose tinkluose bei centralizuotą valdymą „FortiManager“ dėka.
Be to, šie įrenginiai naudoja patentuotą ASIC architektūrą (skirtus lustus), kad paspartintų paketų tikrinimą ir iššifravimą nesumažinant našumo ir nedidinant energijos suvartojimo, net kai tinklas yra visiškai apkrautas ir vyksta šimtai ar tūkstančiai vienu metu vykstančių sesijų.
Apsauga nuo grėsmių sustiprinama „FortiGuard“ paslaugomis , kurios prideda dirbtinį intelektą kenkėjiškoms programoms, įtartinam srautui, pažeidžiamumo išnaudojimams ir tikslinėms atakoms aptikti, viską suderindamos su „Fortinet Security Fabric“ koncepcija: saugumo audiniu, apimančiu tinklą, galinius įrenginius ir debesį, kad būtų galima koordinuotai reaguoti į incidentus.
Ugniasienės zonų projektavimas ir tinklo segmentavimas serveriuose
Prieš kurdami taisykles, tarsi rytojaus nebūtų, turite tinkamai suprojektuoti tinklo zonavimo architektūrą ir segmentavimą . Kuo plokštesnis tinklas, tuo lengviau užpuolikui bus judėti horizontaliai, kai jis pateks į jį.
Pirmas žingsnis – nustatyti pagrindinius išteklius ir paslaugas : žiniatinklio serverius, duomenų bazes, vidines programas, pardavimo vietos įrenginius, VoIP PBX, svečių tinklus ir kt. Priklausomai nuo jų svarbos ir pažeidžiamumo, jie grupuojami į skirtingas logines zonas.
Įprasta praktika yra sukurti DMZ (demilitarizuotą zoną) serveriams, kurie teikia paslaugas tiesiogiai internetui (el. paštas, VPN, žiniatinklio programos, viešieji portalai ir kt.). Šie serveriai turi būti izoliuoti tiek nuo išorinio tinklo, tiek nuo jautresnio vidinio tinklo, kuo labiau apribojant srautą tarp zonų.
Serveriai, pasiekiami tik iš organizacijos vidaus, yra vidinėse serverių zonose , atskirai nuo vartotojų tinklo, valdymo tinklo ir bet kokių laboratorinių ar testavimo aplinkų. Kad tai būtų praktiška, įprasta naudoti komutatorius su VLAN palaikymu , kad būtų išlaikytas atskyrimas ir 2 sluoksnyje.
IPv4 aplinkose visi vidiniai tinklai turi naudoti privačius adresų diapazonus (RFC1918) ir pasikliauti NAT mechanizmais, kad galėtų prisijungti prie interneto. Šis vertimas paprastai atliekamas perimetro užkardoje, kuri taip pat įgyvendina gaunamo ir siunčiamo ryšio politiką kiekvienai konkrečiai zonai.
Prieigos kontrolės sąrašai (ACL) ir tarpzoninės taisyklės
Kai zonos apibrėžiamos ir priskiriamos užkardos sąsajoms arba antrinėms sąsajoms, ateina laikas ACL (prieigos kontrolės sąrašams) – taisyklėms, kurios nusprendžia, koks srautas tarp šių zonų yra leidžiamas, o koks atmetamas.
Idėja yra apibrėžti kiekvienai sąsajai arba subsąsajai kuo konkretesnį ir detalesnį taisyklių rinkinį : šaltinio IP arba potinklis, paskirties IP arba potinklis, protokolas (TCP, UDP, ICMP ir kt.), susiję prievadai ir veiksmas (leisti arba neleisti). Kuo mažiau bendrinės taisyklės, tuo mažiau bus saugumo spragų.
Gera praktika yra kiekvieną ACL užbaigti numanomu „viską uždrausti“ taisykle , kuri veikia kaip saugos tinklas: jei paketas neatitinka jokios ankstesnės leidimo taisyklės, jis blokuojamas. Tada sukuriamos labai specifinės išimtys srautams, kurių iš tikrųjų reikia.
Taip pat patartina išjungti viešą prieigą prie užkardos valdymo sąsajų (HTTP, HTTPS, SSH ir kt.), leidžiant valdymą tik iš labai specifinių vidinių tinklų arba per saugų valdymo VPN.
Šiuolaikiniai NGFW tinklai siūlo ne tik prievadų ir IP adresų valdymą, bet ir programų valdymą , žiniatinklio kategorijas, IPS ir pažangią failų analizę (smėlio dėžės veikimą). Jei jau sumokėjote už šias funkcijas, prasminga jas įjungti ir sukonfigūruoti kritiniams srautams, ypač tiems, kurie kerta perimetrą.
Leidžiamoji ir ribojamoji užkarda serveriuose
Svarbiausias dalykas kuriant užkardos politiką (nesvarbu, ar tai būtų perimetro, ar operacinės sistemos) yra sprendimas, ar pradėti nuo leidžiančios, ar ribojančios pozicijos.
Leidžiamoje užkardoje galutinė numanoma taisyklė yra „leisti viską“. Blokuojama tik tai, kas aiškiai apibrėžta draudimo taisyklėmis. Šis metodas paprastai naudojamas patikimuose vidiniuose tinkluose (LAN) arba kompiuteriuose, kurie sistemoje „Windows“ sukonfigūruoti kaip „privatus tinklas“.
Ribojančioje užkardoje yra priešingai: galutinė taisyklė yra „uždrausti viską“. Leidžiamas tik srautas, atitinkantis aiškias leidimo taisykles. Ši filosofija būdinga plačiajuosčio tinklo (WAN) sąsajai, tokioms užkardoms kaip „pfSense“ ar įmonių NGFW, ir įrenginiams, sukonfigūruotiems kaip „viešasis tinklas“.
Pavyzdžiui, „Windows“ pagal numatytuosius nustatymus naudoja ribojančią politiką gaunamiems ryšiams (blokuoja viską, kas nėra aiškiai leidžiama), o leidžiančią politiką siunčiamiems ryšiams (leidžia viską, išskyrus tai, ką užblokavote). Tai galima koreguoti išplėstiniuose užkardos nustatymuose.
Ką „Windows“ ugniasienė iš tikrųjų gali pasiūlyti serveriuose?
„Windows“ užkarda su pažangiomis saugumo funkcijomis yra daug galingesnė, nei daugelis mano. Ji gali valdyti įeinantį ir išeinantį srautą, filtruodama pagal IP adresą, prievadą, protokolą, paslaugą, tinklo sąsają, profilio tipą (domenas, privatus, viešas) ir net pagal vartotoją ar grupę kai kuriais atvejais.
Tarp jo galimybių yra žemo lygio paketų filtravimas , išsamių žurnalų generavimas (kuriuos vėliau galima analizuoti naudojant įvykių peržiūros programą arba siųsti į SIEM), viešųjų tinklų aptikimas, siekiant automatiškai taikyti griežtesnį profilį, ir integravimas su kitais saugos sluoksniais, tokiais kaip „Windows Defender“.
Mažoms įmonėms ir daugeliui serverių aplinkų gerai sukonfigūruotas NGFW gali būti daugiau nei pakankamas , ypač kai jis derinamas su patikima antivirusine programine įranga ir gera administravimo praktika. Tačiau svarbu žinoti apie jo apribojimus: jis nepakeičia perimetro NGFW ar dedikuoto IPS.
Silpnosios vietos yra tai, kad „Windows“ užkarda pagal numatytuosius nustatymus nesiūlo gilaus paketų patikrinimo su išplėstiniais parašais, automatiškai neblokuoja sistemos telemetrijos, jos pranešimai yra diskretiški (ji vos įspėja apie naujus ryšius), o žurnalų peržiūros būdas nėra patogus netechniniams vartotojams.
Prieiga prie „Windows“ užkardos su išplėstiniu saugumu
Norint valdyti išplėstinius užkardos nustatymus „Active Directory“ domeno aplinkoje , geriausias būdas yra dirbti su grupės politikos objektais (GPO) . Reikalinga narystė domeno administratorių grupėje arba deleguotos GPO teisės.
Politikos valdymo konsolėje eikite į Politikos > Kompiuterio konfigūracija > „Windows“ nustatymai > Saugos nustatymai > „Windows“ užkarda su išplėstiniu saugumu . Ten galite apibrėžti bendras taisykles klientų kompiuteriams ir prie domeno prijungtiems serveriams.
Jei tai vienas serveris arba vietinis kompiuteris , jums reikia administratoriaus teisių tik tame įrenginyje. Greičiausias būdas atidaryti konsolę yra paspausti START, įvesti wf.msc ir paspausti Enter. Tai atidarys „Windows“ užkardos konsolę su išplėstinėmis to kompiuterio saugos funkcijomis.
Pagrindiniame ekrane rodomos gaunamų duomenų taisyklės, siunčiamų duomenų taisyklės, ryšio saugumo taisyklės ir skirtingų profilių (domeno, privataus, viešojo) konfigūracija, taip pat stebėjimo sritis, kurioje matomos tik aktyvios taisyklės.
Profiliai, visuotinės politikos ir numatytasis veikimas
Užkardos ypatybių skydelyje valdomos kiekvieno tinklo profilio (domeno, privataus, viešojo) visuotinės parinktys . Šios parinktys lemia, kaip užkarda veikia, kai tinklo adapteris yra susietas su konkrečiu tinklo tipu.
Kiekvienam profiliui galite nuspręsti, ar užkarda įjungta , ar išjungta , ar blokuojami, ar leidžiami įeinantys ryšiai, neatitinkantys jokios taisyklės, ir tą patį galite padaryti ir išeinantiems ryšiams.
Taip pat galite koreguoti parametrus, tokius kaip pranešimai blokuojant programą , užkardos žurnalų saugojimo vieta , maksimalus šių žurnalų dydis ir specialus srauto, apsaugoto IPsec VPN tuneliais, apdorojimas, kuris paprastai laikomas patikimesniu.
Stebėjimo skyriuje rodomos visos šiuo metu aktyvios taisyklės, įskaitant iš grupės politikos objektų (GPO) ir lokaliai apibrėžtas taisykles. Čia galite peržiūrėti, kurios taisyklės yra aktyvios ir su kokiais parametrais, o tada atidaryti ir modifikuoti jų ypatybes.
Įvažiavimo ir išvažiavimo taisyklės: eismo kryptis
Dirbant su taisyklėmis „Windows“ užkardoje, viena iš dažniausiai pasitaikančių klaidų yra srauto krypties painiojimas . Įeinančių duomenų taisyklės taikomos paketams, atvykstantiems į kompiuterį; išeinančių duomenų taisyklės – paketams, paliekantiems kompiuterį ir keliaujantiems į kitą įrenginį.
Jei tikslas yra užkirsti kelią ryšiams iš interneto į serverį, reikia sukurti arba modifikuoti gaunamo ryšio taisykles . Ir atvirkščiai, jei tikslas yra užkirsti kelią serverio paslaugai ar programai prisijungti prie išorinio ryšio, reikia modifikuoti siunčiamo ryšio taisykles.
Kiekvienas sąrašo įrašas nurodo, ar taisyklė įjungta (žalia varnelės piktograma), ar išjungta. Išjungtos taisyklės neturi įtakos srautui, net jei jos vis dar yra apibrėžtos. Įprasta rasti daug iš anksto nustatytų „Windows“ taisyklių, kurios yra, bet neaktyvios, kol jų neprireikia.
Svarbu suprasti šaltinio / paskirties srautą ir vietinį / nuotolinį prievadą, kad būtų išvengta taisyklių, kurios niekada netaikomos arba atidaromos dažniau nei iš tikrųjų būtina, o tai labai dažnai nutinka konfigūruojant sudėtingas paslaugas.
„Windows“ užkardos taisyklių tipai
„Windows“ užkardos naujų taisyklių vedlyje yra keturios pagrindinės kategorijos: programos, prievadai, iš anksto apibrėžtos ir pasirinktinės . Kiekviena iš jų skirta skirtingam scenarijui, todėl turėtumėte pasirinkti atidžiai, atsižvelgdami į norimą rezultatą.
Programos taisyklės sutelktos į konkretų vykdomąjį failą; prievado taisyklės filtruoja pagal TCP arba UDP prievado numerį; iš anksto nustatytos taisyklės supaprastina žinomų „Windows“ paslaugų valdymą; o pasirinktinės taisyklės leidžia labai tiksliai suderinti kelis kriterijus vienu metu.
Visais atvejais vedlys baigia klausdamas, kokį veiksmą norime taikyti (leisti, leisti tik jei saugu naudojant IPsec, ar blokuoti) ir kuriems tinklo profiliams bus taikoma ši taisyklė (domeno, privatus, viešas). Galiausiai priskiriamas pavadinimas ir aprašymas , kad vėliau būtų galima lengvai jį atpažinti.
Kritiniuose serveriuose verta skirti laiko tinkamam taisyklių dokumentavimui, nurodant, kokią paslaugą jos saugo ir kodėl jos egzistuoja , kad ateityje atliekant auditus ar pakeitimus nekiltų abejonių dėl jų naudingumo.
Programos taisyklės: tiksli konkrečių paslaugų kontrolė
Programos tipo taisyklės yra patogus būdas valdyti programos srautą, nereikia įsiminti visų naudojamų prievadų. Jos gali būti taikomos tiek įeinančiam, tiek išeinančiam srautui.
Vedlyje pasirinkite parinktį „Šio programos kelias“ ir nurodykite vykdomojo failo kelią . Galite naudoti aplinkos kintamuosius, kad užtikrintumėte, jog taisyklė būtų taikoma teisingai, net jei programa įdiegta skirtingose vietose skirtinguose kompiuteriuose.
Serveriuose, kuriuose paslaugos talpinamos faile „svchost.exe“ arba kituose kelių paslaugų konteineriuose, galite tinkinti taisyklę, kad ji būtų taikoma tik konkrečioms paslaugoms, pasirinkdami paslaugą pagal jos trumpąjį pavadinimą. Tai leidžia, pavyzdžiui, atskirti konkrečios RPC paslaugos srautą tame pačiame procese.
Labai rekomenduojama programos taisyklę derinti su apribojimais skirtuke „Protokolai ir prievadai“ , aiškiai nurodant, kurių prievadų programa gali klausytis arba naudoti. Jei ji bandys atidaryti kitą prievadą, užkarda jį blokuos.
Prievado taisyklės: klasikinis TCP/UDP filtravimas
Prievado tipo taisyklės leidžia leisti arba blokuoti srautą pagal vietinio arba nuotolinio prievado numerį ir protokolą (daugiausia TCP arba UDP). Jos gali būti naudojamos tiek gaunamo, tiek siunčiamo srauto taisyklėms.
Įprastoje įeinančio ryšio taisyklėje, norint atidaryti, pavyzdžiui, TCP 21 prievadą , pasirenkate TCP, nurodote „konkrečius vietinius prievadus“ ir įvedate 21. Galite nurodyti kelis prievadus, atskirtus kableliais (pvz., 21, 20, 22), arba diapazonus, pvz., 5000–5100, netgi maišydami atskirus prievadus ir diapazonus toje pačioje taisyklėje.
Toliau nusprendžiate dėl veiksmo (leisti, leisti, jei saugu, blokuoti) ir profilių, kuriuose jis bus taikomas. Tai paprastas būdas atidaryti tam tikras standartines paslaugas (HTTP, HTTPS, RDP ir kt.) nesigilinant į konkrečių programų detales.
Išeinančių duomenų taisyklių atveju dažniausiai nurodomas nuotolinis prievadas, nes tai yra paskirties vieta, prie kurios serveris bando prisijungti. Įprastas naudojimo atvejis būtų blokuoti visą išeinantį srautą į įtartinus prievadus arba apriboti tam tikras programas, kad jos galėtų bendrauti tik per labai konkrečius prievadus.
Iš anksto nustatytos ir pritaikytos taisyklės
Iš anksto nustatytos taisyklės grupuoja paruoštas konfigūracijas įprastoms „Windows“ paslaugoms (failų ir spausdintuvų bendrinimas, nuotolinis darbalaukis ir kt.). Tiesiog pasirinkite paslaugą, nurodykite, ar ją leisti, ar blokuoti, pasirinkite profilius ir viskas.
Ši parinktis patogi, kai norite greitai įjungti arba apriboti vidinę paslaugą, neieškodami, kuriuos prievadus ir protokolus ji naudoja kiekvienu atveju. Užkulisiuose sistema sukuria kelias konkrečias taisykles, taikomas tai paslaugai.
Pasirinktinės taisyklės yra išsamiausios ir siūlo didžiausią kontrolę. Jos leidžia nurodyti visus parametrus: programą (arba visas programas), paslaugos tipą, IP protokolą (su TCP, UDP, ICMPv4, ICMPv6, GRE, IPv6 maršruto ir kt. sąrašu), vietinių ir nuotolinių prievadų derinį, šaltinio ir paskirties IP adresus (įskaitant diapazonus ir potinklius) ir papildomas sąlygas.
Tokiuose protokoluose kaip ICMPv4 arba ICMPv6 galite pasirinkti, ar leisti visus ICMP pranešimų tipus , ar tik tam tikrus (atsakymo užklausa, atsakymo į aidą, laiko viršijimas ir kt.). Galite netgi apibrėžti konkrečius tipus ir kodus, kurie nerodomi bendrame sąraše.
Be to, apibrėžiant IP adresus taikymo srities skyriuje, vedlys leidžia pridėti ištisus diapazonus arba potinklius (pvz., 192.168.10.0/24), kad dar labiau apribotumėte, kurie įrenginiai gali naudoti tą taisyklę tiek vietoje, tiek nuotoliniu būdu.
ICMP įeinančios taisyklės serveriuose
Ar leisti ICMP srautą į serverį, ar ne, yra strateginis sprendimas. Įeinanti ICMP taisyklė leidžia serveriui reaguoti į ping ir tam tikrus tinklo diagnostikos pranešimus, o tai labai naudinga administravimui, tačiau tai taip pat gali suteikti informacijos užpuolikui.
Norėdami sukurti gaunamo ryšio ICMP taisyklę „Windows“ užkardoje, atidarykite išplėstinę konsolę, eikite į „ Gaunamo ryšio taisyklės“ ir sukurkite naują pasirinktinę taisyklę. Skiltyje „Programos“ paprastai pasirenkate „Visos programos“.
Protokolo ekrane pasirinkite ICMPv4 arba ICMPv6 , atsižvelgdami į naudojamą tinklo steką. Jei dirbate ir su IPv4, ir su IPv6, turėsite sukurti taisyklę kiekvienam iš jų. Tinkinimo parinktis leidžia pasirinkti konkrečius ICMP tipus, kuriuos norite leisti (tik aidėjimo užklausa / aidėjimo atsakymas arba platesnis rinkinys).
Toliau apibrėžiama taikymo sritis (kuriuos IP adresus galima patikrinti pagal pingo užklausą), veiksmas (paprastai leidžiantis ryšį) ir tinklo profiliai, kuriuose taisyklė įsigalios. Galiausiai taisyklei priskiriamas aprašomasis pavadinimas, kad būtų lengva ją identifikuoti.
Įeinančių ir išeinančių paslaugų arba programų taisyklės
Kai kuriais atvejais norite leisti konkrečiai paslaugai klausytis įeinančio srauto bet kuriame jai reikalingame prievade arba atvirkščiai: neleisti programai bendrauti su išoriniu pasauliu per bet kurį prievadą.
Gaunamajai daliai sukuriama pasirinktinė taisyklė, pasirenkamas „Šis programos kelias“ ir nurodomas paslaugos vykdomasis failas. Tada tai galima pritaikyti taip, kad taisyklė būtų taikoma tik toje vykdomojoje programoje esančioms paslaugoms, pasirenkant paslaugą pagal jos trumpąjį pavadinimą.
Yra net galimybė pakoreguoti paslaugos SID tipą naudojant komandą „sc sidtype <PaslaugosPavadinimas> <UNRESTRICTED|RESTRICTED>“. Tai lemia, kaip ta paslauga gali būti naudojama užkardos taisyklėse. Pakeitus ją į RESTRICTED, ji gali būti nepasileista, todėl tai darykite atsargiai ir tik tada, kai reikia tokio tipo apsaugos.
Išeinančiojo srauto procesas yra panašus, tačiau reikia sukurti išeinančiojo srauto taisyklę . Jei norite visiškai užblokuoti tos programos prieigą prie interneto, turite apibrėžti vykdomojo failo kelią, nustatyti veiksmą kaip „Blokuoti ryšį“ ir pasirinkti profilius, kuriuos norite apriboti.
Specialios RPC ir dinaminių prievadų konfigūracijos
Paslaugos, kurios naudoja nuotolinius procedūrų iškvietimus (RPC), gali būti ypač jautrios, nes jos naudoja dinaminius prievadus, kuriuos sistema priskiria vykdymo metu. Norint leisti šiam srautui kontroliuojamai praeiti per „Windows“ užkardą, paprastai reikia sukurti dvi konkrečias taisykles.
Pirmoji taisyklė taikoma RPC galinių taškų susiejimo paslaugai , esančiai faile %systemroot%\system32\svchost.exe. Taisyklė pritaikyta taip, kad būtų taikoma RpcSs paslaugai, TCP nustatytas kaip protokolas, o vietiniam prievadui pasirinkta parinktis „RPC galinių taškų susiejimas“.
Antroji taisyklė sukuriama RPC palaikančiam tinklo paslaugų teikėjui, kurį norime leisti, nurodant kelią į vykdomąjį failą, kuriame jis yra, ir susiejant jį su ta konkrečia paslauga. Šiuo atveju vietiniam prievadui pasirenkamas „RPC dinaminiai prievadai“.
Abiejose taisyklėse atitinkamai koreguojama taikymo sritis (leidžiami IP adresai), veiksmas (leidžiamas ryšys) ir profiliai. Tokiu būdu RPC prievadų peradresavimu gali pasinaudoti tik šias sąlygas atitinkantys įrenginiai ir paslaugos.
„Windows“ užkardų registravimas, auditas ir trikčių šalinimas
Kai kažkas neveikia taip, kaip turėtų, užkardos žurnalas ir audito įvykiai yra pirmasis informacijos šaltinis . Prieš pradedant naudoti žurnalų rinkimą, geriausia jį tinkamai sukonfigūruoti.
Užkardos ypatybėse, kiekviename profilio skirtuke, galite tinkinti žurnalo failo kelią , maksimalų dydį KB ir tai, ar registruoti prarastus paketus, sėkmingus ryšius ar abu. Serverių aplinkose paprastai pravartu registruoti abu, kad būtų aiškesnė apžvalga.
Kita vertus, komandinės eilutės įrankis auditpol.exe leidžia įjungti konkrečias audito subkategorijas, pvz., politikos pakeitimus, kad sistema generuotų išsamius įvykius, kai modifikuojamos užkardos arba IPsec politikos.
Tiriant problemą, naudinga užfiksuoti tinklo būseną naudojant komandą `netstat -ano > netstat.txt` , o procesų sąrašą – naudojant komandą `tasklist > tasklist.txt` . Kryžminėmis nuorodomis tarp procesų ID (PID) faile `tasklist` ir aktyvių ryšių faile `netstat` galite nustatyti, kuri programa naudoja konkretų prievadą.
Sudėtingais atvejais „Microsoft“ teikia scenarijus, tokius kaip TSS.ps1 , kad surinktų išplėstinius „Windows“ filtravimo modulio (WFP) pėdsakus, kurie vėliau supakuojami į ZIP failą ir gali būti analizuojami arba pateikiami techninei pagalbai.
Išoriniai įrankiai: „SimpleWall“ ir trečiųjų šalių užkardos
Integruota „Windows“ užkarda veikia gerai, tačiau dažnai trūksta intuityvesnės sąsajos ir aiškių pranešimų, kai programa pirmą kartą bando prisijungti prie interneto . Štai čia praverčia trečiųjų šalių sprendimai.
Vienas iš lengvų, atvirojo kodo „Windows“ parinkčių yra „SimpleWall“ , kuri naudoja „Windows“ filtravimo platformą (WFP), bet tiesiogiai nekeičia „Windows“ užkardos. Vietoj to, ji sukuria savo taisykles per WFP, kad kontroliuotų, kurios programos turi prieigą.
Jo funkcijos apima paprastą taisyklių redaktorių , vidinius „Windows“ telemetrijos ir šnipinėjimo blokavimo sąrašus, blokuotų paketų žurnalus, IPv6 suderinamumą ir sistemos paslaugų bei „Microsoft Store“ programų palaikymą.
SimpleWall permite crear reglas permanentes o temporales (que desapare