Настройка брандмауэра в Windows XP
Submitted by wezir on
http://www.3dnews.ru/communication/firewall2000xp/
По мне, так очень хорошая статья, я хоть чуть разобрался с пакетной фильтрацией :D
Но осталось много вопросов может IT специалисты помогут?
Как фильтровать исходящие пакеты?
Как заставить систему принимать входящие пакеты по указанным портам?
Можно ли указывать в правилах диапазоны портов и DNS адресов?
"Это типично для многих организаций. Windows 2000 намного проще и удобнее в настройке, чем различные версии Unix."
Cиё не правда есть великая.
Если Вам нужен сервер - используйте любой из *никсов - счас их валом и не сложнее виндов в настройке.
Если же для себя и вида стоит ХР - то там ничего не надо настраивать, а просто поставить галочку на "соединениив инет"(дополнительно-бранмауэр) на включить! А в еще дополнительном - там пинги, телнеты - все это не надо разрешать - бо это прямой путь на Вашу машину.
Еще для безопастности - Обязательно ставить пароль на винду и убить всех юзеров, кроме вашего родного, и вырубить все протоколы в сетевой карточке,которая выходит на интернет, окромя ТСР-IP.
От троянов полезно чистить кэш при перезагрузке и поставить свежего Кашперского(мудер он нынче и крут хотя и тормозит машину).
Ну, если уж очень хочется лазить по порносайтам и "хакерским"(там в основном трояны и сидят, для того их и делают) - то просто необходимо поставить сторонний файрвол. Внутренний не справится с эксплоитами, и активным содержимым, да и сильно простой. Какой именно сторонний - тут выбор большой - посикать и выбрать тот, который понравится.
Этого процентов на 80-90 бывает достаточно.
Ну и читать багтраки и ставить _не_ все обновления виндовые.
Про мессенжер и аську - это громадные пылесосы вирусни.
В принципе по упомянутым сайтам не хожу, а вот о безопастности пекусь, просто в силу интереса.
Стоит Agnitum Outpost фильтрует все что можно но хотелось бы делать это встроенными средствами тем более что Outpost не пакетный файер что не есть гуд по некоторым отзывам. Вроде все ненужные сервисы отключены, и протоколы тоже, соединеие только по TCP/IP, политика безопастности настроена, однако при запуске приложений не устраивают некоторые моменты (приходится использовать Outpost).
Или может лучше на виртуальную машину поставить *nix? Лучше ли его встроенный файрволл чем под WIN?
Отвечу так(проникновенным голосом): А зачем вам виртуальная машина с *никсом? Понятно, что этот вопрос я тоже задаю из чистейшего любопытсва!:)
И, IMHO, не проще ли поставить рядом пустой *никс с пэлами и файрволами?
:)
А лучше вообще две машины - одна, дешевенькая, с *никсом и файерволами и пелом, далее под виндами.
Дешево и сердито. Видна винда на выходе, а *никс все запросы в логи кидает. Читать которые ох, как полезно иногда.;)
Файрвол для "некоторых моментов. отдельных процессов" и файрвол для просто посмотреть - разные вещи.
И "встроенных" файрволов - обычно всегда мало. Тк стучат они (винды), как дятлы не помню где.
Но, вопрос о кошерности подобного блюда всегда приводил меня в неимоверное замешательство, посему уже давно питаюсь обычной колбасой и пивом для крепкого сна.
Визирю: Если нужно просто смотреть в инете - то достаточно любого внешнего файрвола и антивируса(ну, и остальное с настройками виндов - просто прочитать и сделать),
если нужен сервер (любой: вэб, телнет, майл, фтп и проч.) - то тут лучше никс, хотя и можно на виндах. На виндах много медленее и винды не видят половины того, что видит юникс в сети.
Если тебе нужна предельная безопастность - то надо отделить комп от сети, как минимум.
Если нужно ломать сайты или кардить - то тут дело вкуса, тут я не советчик.
Ну, а Пэл - PERL - это скриптовый язык специально для инет приложений, сейчас есть для виндойс, но лучше по никсами, так же как и для английский язык, для любой ОС, тк родное все.
:))И никто тебе в этом не поможет. Любой университет - всего лишь база - дают основы математики и програмирования, Все остальное - личный опыт и желание. Но это мое мнение. Только мое мнение.
А вот скажите, ВОТ :D
У меня дома стоит WinXP (до этого - Win98, до этого - Win95). Не стоит никаких файерволов, акромя встроенного. Не стоит Кашпировича (правда, стоит McAfee, но с отключенным файером). Стоит и активно используется аська и мсн мессенджер. Часто лазаю по "хакерским" сайтам. Открываю любые мэйлы, не задумываясь (правда, не открывая незнакомые аттачменты :wink:) На винде пароль не стоит. Есть несколько дополнительных "технических" юзеров. Кроме TCP/IP на сетевом интерфейсе, смотрящем "наружу", стоит IPX (ну, нужно мне так). Никогда не чищу кэш.
Вроде, я нарушаю ВСЕ золотые правила?
а почему с 1997 года (когда у моего компа появился выход в инет) я не подцепил НИ ОДНОГО вируса и трояна? :wink: :lol:
Отвечу (также проникновенным голосом), честное слово на Ru-Board вычитал, что человек поставил *nix с файером на VMW или VPC смотрящий в инет и был доволен. Черт может я ошибся с направлением и он смотрел в локальную сетку? Тогда я этот, как его, а ЛАМЕР :)
Дешевенькую машину можно поставить но вот с командной строкой честно говоря не на ты (еще скажите: "В первый класс, учить матчасть").
А что такое пелы?
Да еще, а зачем рядом ставить *nix (в общем то у меня стоит RH 9.0 но никак до него руки не дотянутся в порядок привести)?
VM. Давай аську, подкину парочку :)
В общем то я за последние два года выдернул вирус всего пару раз, и бластера к удивлению на моей машине не оказалось. И система у меня ни разу не падала из за вирусов. Но неприятно, когда в логах оутпоста видно, как какой нибудь кулхацкер мценского уезда, пытается найти дыру в твоем ПРО (каламбурчик). К примеру неделю назад появился у меня SLAVE.EXE. ну запустил я один поганый *.exe (знал что делаю)потому как оутпост стоял в паре с касперским, а если бы нет?
А вопрос то не праздный, для общего развития очень даже полезный.
ЗЫ: Аськой и MSN не пользуюсь
[quote="VM"]Вроде, я нарушаю ВСЕ золотые правила?[/quote]
Золотое правило -то в принципе всего одно, потому и золотое, и гласит: Когда что-то делаешь - знай _что_ ты делаешь. Его то вы вроде и не нарушаете ;)
[quote="wezir"]Outpost не пакетный файер что не есть гуд [/quote]
А что по вашему "пакетный" и чем он от "не пакетного" отличается? Мои скромные познания нашептывают мне, что пакетный - это когда только 3/4ий уровень OSI - т.е. что не для нас (IP address)- и не смотрим, и смотрим только то, что идёт на "разрешенные" порты. "Не пакетный" или фильтр приложений, делает тоже самое, только для каждой проги в отдельности: MSN в интернет нельзя, а ICQ можно. Поэтому мне становится сложно представить "не пакетный" фаервол, не выполняющий пакетных функций. А вот наоборт - классический iptables, лю
бой router именно и есть пакетные фаерволы, и _только_ пакетные.
[quote="BOT"]Визирю: Если нужно просто смотреть в инете - то достаточно любого внешнего файрвола и антивируса(ну, и остальное с настройками виндов - просто прочитать и сделать)[/quote]
правда не защитит такая связка ни от spyware, ни от троянов, ни от атак на приложения, но чувство защищенности конечно зашкалит!
[quote="BOT"]
Если тебе нужна предельная безопастность - то надо отделить комп от сети, как минимум.[/quote]
Вот уж что верно то верно! а желательно и от общества отделить :))) Замариновать в сейфе, и не подпускать никого :p ... Не смейтесь, я серьёзно .. только так ;)
[quote="BOT"]На виндах много медленее и винды не видят половины того, что видит юникс в сети..... Но это мое мнение. Только мое мнение.[/quote] И правильно. Моё как раз обратное - насчет видимости, конечно - на счет скорости nix безусловно быстрее. А вот с пакетами - nix смотрит только TCP или UDP - и отправляет на соответствующий сокет, и смотрит ICPM - и отправляет ответ. Больше он вроде ничего не видит... слепо посылает всё на SOCK-RAW. C win32 у меня опыта не так много, но по-моему он немного "прозорливее", мало того ещё и читит при TCP запросах... но это другая история..
[quote="pl@yer"]
[quote="BOT"]Визирю: Если нужно просто смотреть в инете - то достаточно любого внешнего файрвола и антивируса(ну, и остальное с настройками виндов - просто прочитать и сделать)[/quote]
правда не защитит такая связка ни от spyware, ни от троянов, ни от атак на приложения, но чувство защищенности конечно зашкалит!
[/quote]
Прав игрун-то :wink:
К сожалению (именно к сожалению), весь этот софт обеспечивает определенный уровень защиты, но *далеко* не 100%. А у многих возникает иллюзия полной защищенности. Собственно, это не вина пользователей, а беда, вызванная бурным развитием технологии и превалированием возможностей атакующих над средствами защищающихся. По большому счету, обычному пользователю должны быть пофигу протоколы, уровни OSI, файерволы и проч. А им приходится со всем этим разбираться...
[quote="VM"]
... у многих возникает иллюзия полной защищенности. Собственно, это не вина пользователей ... По большому счету, обычному пользователю должны быть пофигу протоколы, уровни OSI, файерволы и проч. А им приходится со всем этим разбираться...[/quote]
Не согласен. Приведу простую аналогию с миром автомобилей.
1: Можно просто купить машину, и ездить, пока не сломается - потом отвозить в ремонт.. вам всё починят. Но есть вероятность что в ремонт вы машину сдадите слишком поздно ( двигатель например уже стукнулся ) и это обойдётся вам дорого. Но если б вы заметили что у машины наступили признаки скорой смерти ( что-нить стучит или вибрирует например ) вы бы обратились в ремонт раньше, и больших расходов можно было бы избежать.
Но для этого вам необходимо _знать_ оные признаки. И чтобы их выучить - придётся скорее всего разбираться в конструкции подвески, трансмиссии, двигателя ...
- тоже самое: чем больше вы знаете об устройстве компьютера, и как sideeffect о его слабых местах, тем меньше шанс подхватить вирусы, трояны, нарваться на прочие неприятности и/или вовремя отреагировать ( пока не утеряна ценная информация, например ).
2: Покупая Volvo вы знаете, что это самый безопасный автомобиль в мире, но от смерти при лобовом столкновении со стеной при скорости 200 км/ч вас это не спасёт.
- это к 100%
3( в конце концов ): Что-бы без проблем ездить на машине - надо учиться, знать правила дорожного движения, желательно иметь некоторый опыт, иметь представление об устройстве автомобиля.
- управлять компьютером несколько сложнее ( "кнопок" больше (; ) Почему же все хотят сразу всё и ничего не делая, ничего не зная?
Мне кажется, что аналогия с машиной неверна. Комп уже превратился в обычный бытовой прибор, им пользуется очень много людей для "получения результата" с помощью готового дружелюбного (по возможности) софта - и, вообще говоря, их не должно волновать, как там все внутри происходит. Вы же не задумываетесь, как и почему телевизор показывает фильмы? Я об этом говорил. К сожалению, превратившись в бытовой прибор, компьютер осталися уязвимым.
Согласитесь, неправильно требовать с, к примеру, историка, знаний принципов функционирования сети для поиска нужной ему информации по истории в интернете....
У компьютера слишком расширенная функциональность для того чтобы стать бытовым прибором. И, как мне кажется, было огромной ошибкой давать людям повод думать о компьютере, как обытовом приборе.
Но по порядку:
Инструкция по использованию телевизора ( понятная простому смертному ) - 30-40 страниц. По использованию той же windows - тома! ( это не описывая даже приципиальное внутреннее устройство ( не говоря о коде ) )
Заметьте: компьютер "объединяет" огромное количество бытовых приборов, однако все эти приборы доступны и по-отдельности: телефоны для общения, игровые пристаки, телевизор, защищенный терминал доступа к базам данных для историка ( в котором историку и знать ничего действительно не надо, и испортить он ничего не сможет ) или как вариант - информационные центры со специалистами по поиску информации - которые найдут, что надо намного быстрее, и совсем не надо знать, как они это делают.
Согласитесь, когда человек болеет - он идет к врачу, чтобы виписать нужные таблетки .... сколько анальгин не пей - от геморроя он не поможет. Для того, чтобы заниматься сомолечением - необходимо понимать, как минимум, что свечи принимать надо уж точно не орально. (;
Желая расширить круг своих возможностей _необходимо_ расширять круг своих знаний.
Тем же телевизором надо ещё и управлять научиться ( и всё таки иметь элементарное представление об устройстве: что имеются каналы, можно регулировать громкость и тп ). Конечно это кажется просто, но некоторые не умеют.
И ведь были времена, что и на машинах можно было ездить не зная правил движения ( за отсутствием оных ). А сейчас в некоторых странах хотят ввести "права" по использованию компьютеров, в некоторых преследовать пользователей за ущерб причинённый вирусами запущенными с их компьютеров, при этом неопытность трактовать как _отягчающие_ обстоятельство. Будут такие законы повсеместно, или нет - конечно никто не знает, но повод для размышления неплохой...
Не... не согласен.
Простой пример (аналогичный "историку" - только я не про терминалы говорил). Огромное количество людей (огромное!) использует e-mail и ищет в Интернете нужную им информацию. Эти люди имеют различные профессии, образование, способности и т.д. И что - всем разбираться с файерволами? Это невозможно в силу того, что многие из них имеют образование в совершенно разных областях. И? Им не пользоваться e-mail'ом? Или просить слать и получать мэйлы специалистов?
Компьютеры существуют для людей, а не наоборот. И софт должен быть таким, чтобы неспециалисты могли использовать компьютеры для своих утилитарных нужд.
PS: BTW, я предпочитаю не сам возиться с автомобилем и разбираться, что там не так, а отдавать это на откуп специалистам. Но вот езжу на нем я сам. Кстати, люди сдают экзамены на права, а не на знание устройства автомобилей.
Да уж... Защищаться и защищаться!
От получения прав Админа форума.
Админ!!! Алё!
Мar 26 2004
C_tical sql inject. bug in PhpBB 2._.8 & in older versions
Ну и кому права помогут...
[quote]И что - всем разбираться с файерволами? ... [/quote]
Нет. На работе пользоваться терминалами. Системный администратор сам решит проблеммы с фаерволом. Так в принципе и устроена система и во многих университетах, и на многих предприятиях, и это, ИМХО, является _правильным_ решением. Людям в этом примере _действительно_ не надо ничего ни про что знать. e-mail, интернет ... ограниченный от вирусов и угроз, настроенные для них базы данных, этц - обо всем заботится "дядя администратор", и люди должны знать _только_ приложения, с которыми работают.
А дома - _настоящими_ бытовыми приборами ( с инструкцией в пределах небольшой брошюры ).
А хотят сами руководить процессом - тогда обязательно!
[quote]Компьютеры существуют для людей, а не наоборот.[/quote]
И самолёты тоже! И автомобили! И таблетки! И оружие! Почему же вы учитесь разбирать/собирать/смазывать автомат, если собираетесь пользоваться им регулярно? Для элементарно зарядить - стрелять это не надо!
[quote] Кстати, люди сдают экзамены на права, а не на знание устройства автомобилей. [/quote]
А когда я учился на вождение - нам элементарное устройство автомобиля объясняли. В обязательном порядке.
[quote="pl@yer"][quote]И что - всем разбираться с файерволами? ... [/quote]
Нет. На работе пользоваться терминалами. Системный администратор сам решит проблеммы с фаерволом. Так в принципе и устроена система и во многих университетах, и на многих предприятиях, и это, ИМХО, является _правильным_ решением. Людям в этом примере _действительно_ не надо ничего ни про что знать. e-mail, интернет ... ограниченный от вирусов и угроз, настроенные для них базы данных, этц - обо всем заботится "дядя администратор", и люди должны знать _только_ приложения, с которыми работают.
А дома - _настоящими_ бытовыми приборами ( с инструкцией в пределах небольшой брошюры ).
А хотят сами руководить процессом - тогда обязательно!
[/quote]
Я не говорил про организации. Там все понятно - существуют специалисты по безопасности. Я говорил про ДОМАШНИХ пользователей. То есть Вы предлагаете всем домашним пользователям либо не пользоваться мэйлом, либо изучать уровни OSI и файерволы?
[quote][quote]Компьютеры существуют для людей, а не наоборот.[/quote]
И самолёты тоже! И автомобили! И таблетки! И оружие! Почему же вы учитесь разбирать/собирать/смазывать автомат, если собираетесь пользоваться им регулярно? Для элементарно зарядить - стрелять это не надо![/quote]
Вы говорите о профессиональных применениях чего-либо (оружие и т.д.). Я говорю про обычных домашних пользователей компьютеров.
[quote][quote] Кстати, люди сдают экзамены на права, а не на знание устройства автомобилей. [/quote]
А когда я учился на вождение - нам элементарное устройство автомобиля объясняли. В обязательном порядке.[/quote]
Именно. ЭЛЕМЕНТАРНОЕ.
ИМХО - все, что людьми сделано - ломается людьми же!
Другое дело, что "разумный уровень безопастности".
НО опять же, имхо, это не дело конченных юзверей.
НО! Бытовой прибор сделать из компа - уже не удасться!
Из обычного камня люди первым делом "придумали" - оружие.
Копм и околоеёйное - многофункциональнее.
[quote="VM"]Я не говорил про организации. Там все понятно - существуют специалисты по безопасности. Я говорил про ДОМАШНИХ пользователей.[/quote]
Вы говорили про историка, занимающегося историей.
[quote] То есть Вы предлагаете всем домашним пользователям либо не пользоваться мэйлом, либо изучать уровни OSI и файерволы? [/quote]
Да!
DHL, например стоит дорого. На работе платит ваш босс. Не жалуйтесь, что для личной переписки это дорогое удовольствие!
[quote]Вы говорите о профессиональных применениях чего-либо (оружие и т.д.). Я говорю про обычных домашних пользователей компьютеров.[/quote]
А я и утверждаю, что компьютер - не бытовой прибор!
[quote]Именно. ЭЛЕМЕНТАРНОЕ.[/quote]
Ну я не виноват, что элементарные знания о комьютерах объёмнее элементарных знаний об автомобиле. Я не прошу всех пользователей изучать алгоритмику и языки программирования - только инструкции к программам, и необходимые концепты/принципы работы.
[quote="pl@yer"]На работе пользоваться терминалами.[/quote]
Пропустил мимо ушей эту фразу. А она занятная :) Предлагается вернуться в прошлый век, и пользоваться ТОЛЬКО терминалами? Эдак я работу потеряю - не нужны будут никому мои разработки :lol:
[quote="pl@yer"][quote="VM"]Я не говорил про организации. Там все понятно - существуют специалисты по безопасности. Я говорил про ДОМАШНИХ пользователей.[/quote]
Вы говорили про историка, занимающегося историей. [/quote]
Историки (настоящие) занимаются историей не только на работе. Я даже и не подумал, что Вы меня так проинтерпретируете.
[quote][quote] То есть Вы предлагаете всем домашним пользователям либо не пользоваться мэйлом, либо изучать уровни OSI и файерволы? [/quote]
Да![/quote]
Флаг в руки :-) А заодно сдайте права, если не знаете алгоритмов работы компа в части управления системой зажигания Audi A8 :-)
[quote]А я и утверждаю, что компьютер - не бытовой прибор![/quote]
Ну хорошо. И что от этого изменится? Что утверждаете? :wink:
[quote]Я не прошу всех пользователей изучать алгоритмику и языки программирования - только инструкции к программам, и необходимые концепты/принципы работы.[/quote]
Уровни OSI?
[quote="VM"][quote="pl@yer"]На работе пользоваться терминалами.[/quote]Предлагается вернуться в прошлый век, и пользоваться ТОЛЬКО терминалами? Эдак я работу потеряю - не нужны будут никому мои разработки [/quote]
Нет, ну если вас не интересуют компьютеры, и нужен только безпасный интернет/e-mail ИМХО это было, есть и останется идеальным решением.
Больше хотите - больше "платите" ( в смысле необходимости новых знаний )
[quote]Историки (настоящие) занимаются историей не только на работе. Я даже и не подумал, что Вы меня так проинтерпретируете. [/quote]
Раз на то пошло: я проинтерпретировал это как не IT профессионал занимающийся _своей_ не IT профессией. Я нашёл историка более кратим для записи.
Но обрабатывают информацию они именно на работе. А где собирают - там и интернета нет.
[quote="VM"]А заодно сдайте права, если не знаете алгоритмов работы компа в части управления системой зажигания Audi A8 [/quote]
[quote="pl@yer"] Я не прошу всех пользователей изучать алгоритмику и языки программирования - только инструкции к программам, и необходимые концепты/принципы работы.[/quote]
А последнее ( принцип работы, концепты, возможные неполадки ) - легко! ( оно у всех машин почти одинаково ) И не думаю, что много водителей на этом моменте замнуться. ( Хоть у меня и нет прав (; )
[quote]Ну хорошо. И что от этого изменится? Что утверждаете?[/quote]Не, ну так уже нельзя! А что измениться, что вы хотите оградить "простых пользователей" от всех опастностей? Давайте не переходить на личности, и закроем этот момент..
[quote]Уровни OSI?[/quote]А там разве много? Надо знать только с 3его по 5ый, не подробно. + несколько концептов. Наберётся на брошюру листов в 40. Неприемлемо для простых смертных!
[quote="pl@yer"]Но обрабатывают информацию они именно на работе. А где собирают - там и интернета нет.[/quote]
Отнюдь нет :-)
[quote="pl@yer"][quote]Уровни OSI?[/quote]А там разве много? Надо знать только с 3его по 5ый, не подробно. + несколько концептов. Наберётся на брошюру листов в 40. Неприемлемо для простых смертных![/quote]
На мой взгляд, неприемлемо.
Собственно, по-моему диалог пора прекращать. По крайней мере, я все, что хотел, написал. Вы, мне кажется, тоже...
ЗЫ: Не собирался переходить на личности. Если что-то выглядело так - сорри.
[quote="VM"]
Собственно, по-моему диалог пора прекращать. По крайней мере, я все, что хотел, написал. Вы, мне кажется, тоже...
[/quote]
Согласен. (((:
А, если не секрет, что вы разрабатываете?
СУБД (в основном с доступом через инет), удаленная синхронизация БД
Гм! Галимый флейм, даже флуд. А по теме, что либо сказать, кто нибудь может?
Например, сошлись на том, что основные настройки в WinXP сделали, а теперь давайте настроим Agnitum Outpost.
Например, кто в силах доступно изложить на родном языке, как здесь рассказано?
http://www.outpostfirewall.com/forum/showthread.php?s=320a3672de400f34b871004cbd...