Kontrolliere die erweiterte Windows-Firewall-Regeln Das macht den Unterschied zwischen einem nur minimal geschützten Computer und einem wirklich sicheren System aus. Auch wenn die Konsole auf den ersten Blick etwas einschüchternd wirken mag, sobald man verstanden hat, wie Regelprioritäten funktionieren, Netzwerkprofile erstellt werden und wie man detaillierte Ausnahmen für Ports, Anwendungen oder Dienste festlegt, kann man den Datenverkehr, der in den PC ein- und aus ihm herausfließt, tatsächlich kontrollieren.
In diesem Artikel finden Sie eine Anleitung sehr detailliert und praktisch Dieser Leitfaden erklärt die Funktionsweise der Windows-Firewall mit erweiterter Sicherheit, häufig auftretende Probleme, die Verarbeitung von Regeln, empfohlene Konfigurationen und die Erstellung einfacher bis komplexer Regeln für ICMP, RPC, Anwendungen, spezifische Ports und moderne Optionen wie App-Control-Tags. Ziel ist es, Ihnen den Einstieg in die Firewall-Verwaltung zu erleichtern.
Grundlegende Konzepte der Windows-Firewall und ihrer Profile
Die in Windows integrierte Firewall ist eine Paketfilter-Firewall Es basiert auf der Windows-Filterplattform (WFP). Es kann jedes Paket anhand von Kriterien wie IP-Adresse, Protokoll, Port, Anwendung oder Dienst analysieren und gemäß den konfigurierten Regeln entscheiden, ob es zugelassen oder blockiert wird.
Diese Firewall funktioniert immer mit bidirektionalem Datenverkehr: eingehende und ausgehende VerbindungenEingehende Regeln steuern, welche Daten aus dem Netzwerk auf Ihren Computer gelangen, während ausgehende Regeln steuern, welche Daten Ihr Computer aussendet. Das Verständnis der Datenverkehrsrichtung ist entscheidend: Um zu verhindern, dass Daten aus dem Internet auf Ihren Computer gelangen, ändern Sie eine eingehende Regel; um zu verhindern, dass ein Programm Daten an das Netzwerk sendet, konfigurieren Sie dies in einer ausgehenden Regel.
Windows organisiert Regeln und Richtlinien in drei Netzwerkprofilewelche je nach Art des Netzwerks, mit dem Sie verbunden sind, gelten:
- Domain: für Computer, die einer Active Directory-Domäne beigetreten sind.
- privat: Konzipiert für Heim- oder Arbeitsnetzwerke, die als vertrauenswürdig gelten.
- Público: für WLAN in Cafés, Flughäfen oder anderen unzuverlässigen Netzwerken.
Standardmäßig ist die Firewall Es blockiert fast alles, was eingeht. in allen drei Profilen und erlaubt ausgehenden Datenverkehr. Das heißt, eine restriktive Richtlinie für eingehenden und eine permissive Richtlinie für ausgehenden Datenverkehr. Sie können dieses globale Verhalten über die Eigenschaften der Windows Defender Firewall (in der erweiterten Konsole) kann für jedes Profil ausgewählt werden, ob eingehende und ausgehende Verbindungen standardmäßig erlaubt oder blockiert werden.
So greifen Sie mit erweiterten Sicherheitseinstellungen auf die Windows-Firewall zu
Der leistungsstarke Teil der Firewall wird über die Konsole gesteuert. „Windows-Firewall mit erweiterter Sicherheit“Sie können es auf verschiedene Weise erreichen, je nachdem, ob Sie in einem Einzelteam oder in einer Domänenumgebung arbeiten:
Auf einem einzelnen Computer mit Windows 10 oder Windows 11 öffnen Sie einfach das Startmenü und geben Sie Folgendes ein: wf. msc und drücken Sie die Eingabetaste. Alternativ können Sie auch zu Systemsteuerung > System und Sicherheit > Windows Defender Firewall gehen und dort auf „Erweiterte Einstellungen“ klicken.
In einer Domänenumgebung ist es ideal, die Gruppenrichtlinie (GPO)Im Gruppenrichtlinienobjekt-Editor navigieren Sie zu Computerrichtlinie > Windows-Einstellungen > Sicherheitseinstellungen > Windows-Firewall mit erweiterter Sicherheit. Dadurch können Sie zentrale Regeln und Richtlinien für alle Computer unter diesem Gruppenrichtlinienobjekt bereitstellen.
In der erweiterten Benutzeroberfläche sehen Sie die wichtigsten Abschnitte im linken Bereich: Teilnahmebedingungen, Regeln beendenVerbindungssicherheitsregeln und der Überwachungsknoten. Von dort aus werden praktisch alle Aspekte der Firewall gesteuert.
Rangfolge und Auswertungsreihenfolge der Regeln
Einer der weniger intuitiven Aspekte ist, wie die Firewall entscheidet, was Die Regel kommt zur Anwendung, wenn mehrere übereinstimmen. Bei gleichem Datenverkehr. Nicht alle Verbindungen werden „hinzugefügt“, sondern nur eine wird genutzt. Die Kenntnis der Priorität bewahrt Sie davor, sich zu ärgern, wenn etwas „ohne ersichtlichen Grund“ blockiert wird.
Auf logischer Ebene werden die Regeln entsprechend ausgewertet. Handlungspriorität:
- Erstens Regeln, die „wenn es sicher ist“ (IPsec) erlauben und auch haben Blockungültigmachung aktiviert.
- Dann Regeln, deren Wirkung Blockieren.
- Schließlich Regeln, die Sie erlauben Verkehr ohne besondere Bedingungen.
Des Weiteren gilt zwischen Regeln mit derselben Aktion ein Priorität nach SpezifitätSpezifischere Regeln haben Vorrang vor allgemeineren. Zum Beispiel gilt eine Regel, die nur für Folgendes gilt: eine bestimmte IP-Adresse Sie hat Vorrang vor einer anderen Regelung, die ein breites Spektrum abdeckt, vorausgesetzt, es gibt keine explizite Sperrregel.
In Szenarien, in denen die Firewall die Regeln intern sequenziell anordnet, wird folgendes Muster befolgt: zuerst die restriktivsten Regeln (zum Beispiel solche, die bestimmte Computer, bestimmte Ports oder bestimmte Anwendungen betreffen) und schließlich die weniger restriktiven. Sie lassen den gesamten Verkehr zu. Oder sie gelten für große Bereiche. Sobald eine Regel zutrifft und eine Aktion vorschreibt, werden nachfolgende Regeln nicht mehr ausgewertet.
Wenn Sie also eine sehr allgemeine Regel festlegen, die alles blockiert und Vorrang vor einer anderen Regel hat, die etwas Spezifischeres erlaubt, Alles wird blockiert sein.Es ist unerlässlich, die Richtlinien so zu gestalten, dass unerwünschte Überschneidungen vermieden werden, insbesondere durch explizite Blockierungsregeln.
Aktive Regeln, Überwachung und vordefinierte Gruppen
Der Knoten von Aufsicht Die erweiterte Sicherheitskonsole zeigt nur aktuell aktive Regeln an. Das bedeutet, dass eine Regel zwar unter „Eingehende Regeln“ oder „Ausgehende Regeln“ vorhanden sein kann, aber in der Überwachung nicht sichtbar ist, wenn sie deaktiviert oder nicht funktionsfähig ist, da das Standardverhalten des Profils diesen Datenverkehr bereits zulässt.
Wenn beispielsweise die Exit-Richtlinie für ein Profil auf „Zulassen“ eingestellt ist, Die Regelungen für ausgehenden Urlaub werden nicht aufgeführt. Es sollten keine zusätzlichen Einschränkungen hinzugefügt werden. Dasselbe gilt für bestimmte eingehende Regeln, wenn die Richtlinie und der Kontext den Datenverkehr bereits zulassen. Dies ist normal; es bedeutet nicht, dass die Konsole defekt ist.
Ab Werk, einige Regelgruppen Sie sind aktiviert, weil sie in den meisten Umgebungen als notwendig erachtet werden. Dazu gehören:
- Regeln von Hauptnetze für alle Profile.
- Regelsatz Remote-Unterstützung, wobei einige Regeln nur für die Domäne und andere sowohl für die Domäne als auch für den privaten Bereich gelten.
- Regeln von Netzwerkerkennungaber nur im privaten Profil.
Darüber hinaus kann die Installation bestimmter Windows-Funktionen oder Anwendungen von Drittanbietern Zusätzliche Regeln automatisch aktivieren sodass diese Komponenten ohne manuelles Eingreifen des Benutzers funktionieren.
Regeltypen: Programm-, Port-, vordefinierte und benutzerdefinierte Regeln.
Beim Erstellen einer neuen Regel (sowohl eingehend als auch ausgehend) bietet der Assistent vier Grundtypen an, die die meisten Szenarien abdecken:
Regeln Programm Sie sind einer bestimmten ausführbaren Datei zugeordnet. Sie erlauben oder blockieren den gesamten Datenverkehr einer Anwendung, ohne dass Sie sich um die verwendeten Ports kümmern müssen. Wählen Sie einfach die .exe-Datei aus, entscheiden Sie, ob Sie sie zulassen oder blockieren möchten, und legen Sie fest, für welche Profile dies gilt. Dies ist sehr nützlich, um zu verhindern, dass Programme eine Internetverbindung herstellen oder deren Nutzung in öffentlichen Netzwerken einzuschränken.
Regeln Puerto Sie filtern nach Protokoll (üblicherweise TCP oder UDP) und einem oder mehreren Ports und können Bereiche (z. B. „5000–5100“) oder kombinierte Listen („21, 22, 80, 443“) enthalten. Sie können verwendet werden, um einen bestimmten Port (z. B. 21/TCP) für eingehenden Datenverkehr zu schließen oder zu verhindern, dass ein Dienst bestimmte Ports für ausgehenden Datenverkehr verwendet, oder um diese nur bei Bedarf zu öffnen.
Die Regeln Vordefiniert Hierbei handelt es sich um Vorlagen, die Windows selbst für interne Dienste (wie Remotedesktop, Datei- und Druckerfreigabe usw.) mitbringt. Sie wählen den gewünschten Satz aus, legen fest, ob und in welchen Profilen die Dienste zugelassen oder blockiert werden sollen, und das System kümmert sich um die Konfiguration aller beteiligten Ports und Dienste.
Die Regeln Besonders angefertigt Diese Konfigurationen sind äußerst flexibel und ermöglichen die Kombination aller Komponenten: Programm oder Dienst, Protokolltyp (einschließlich ICMPv4, ICMPv6, GRE, IPv6-Route usw.), lokale und entfernte Ports, lokale und entfernte IP-Adressen, Anwendungsbereiche, Sicherheitsbedingungen (IPsec) und Profile. Sie eignen sich für fein abgestufte Szenarien, beispielsweise um einem bestimmten Dienst zu ermöglichen, nur in einem begrenzten IP-Adressbereich innerhalb eines eingeschränkten Subnetzes und an dynamischen RPC-Ports zu lauschen.
Anwendungsregeln und Ausgabesteuerung
Wenn Sie eine Anwendung installieren, die im Netzwerk lauscht, ist es üblich, dass die Anwendung selbst... Installer registriert eine Firewall-Regel damit alles funktioniert, ohne den Benutzer zu sehr zu belasten. Falls nicht, muss der Benutzer oder der Administrator … manuell erstellen.
Das Problem entsteht, wenn man sich darauf verlässt, dass die Firewall alles von selbst regelt. Die standardmäßige Windows-Firewall ist ziemlich... permissiv im ausgehenden DatenverkehrEs lässt fast alles durch, was nicht explizit blockiert wird. Außerdem zeigt es im Gegensatz zu vielen Drittanbieter-Firewalls nicht jedes Mal Pop-up-Fenster an, wenn ein Programm versucht, eine Verbindung herzustellen.
Wenn Sie sich Sorgen darüber machen, welche Anwendungen online gehen dürfen, können Sie die ausgehende Richtlinie auf „Blockieren“ ändern und eine entsprechende Konfiguration einrichten. umfassende WhitelistDies ist jedoch für hochkontrollierte Umgebungen (z. B. Unternehmen mit hohen Sicherheitsanforderungen) konzipiert. Es beinhaltet die Pflege eines Anwendungsinventars, die Kenntnis derjenigen, die eine Verbindung benötigen, und die Erstellung einer Regel für jede Anwendung, die typischerweise über Gruppenrichtlinienobjekte (GPO) oder Cloud-Service-Provider (CSP) verteilt wird.
Darüber hinaus gibt es ein wenig bekanntes Verhalten: Beim Versuch, zur Laufzeit automatisch eine Regel zu erstellen (beispielsweise beim Erscheinen einer Benachrichtigung, die um Berechtigungen für eine App bittet), kann das Ergebnis je nach Rolle und Aktionen des Benutzers variieren. Ein privilegierter Benutzer könnte die Benachrichtigung versehentlich verwerfen, was zur Erstellung neuer Regeln führt. BlockierungsregelnSind die Berechtigungen unzureichend oder sind Benachrichtigungen deaktiviert, werden keine Berechtigungsregeln generiert und der Datenverkehr bleibt gemäß der Standardrichtlinie blockiert.
App Control- und PolicyAppId-Tags in Firewall-Regeln
In modernen Geschäftsumgebungen kann die Windows-Firewall integriert werden mit App-Überwachung und Steuerung Anstelle von Ausführungspfaden werden Anwendungs-Tags (AppIDs) verwendet. Dadurch können Regeln Gruppen von getaggten Prozessen zugeordnet werden, ohne dass sich die ausführbare Datei immer im selben Ordner befinden muss.
Der Vorgang basiert auf zwei Schritten. Zuerst ein Kennzeichnungsrichtlinie für App Control Dabei wird den Prozesstoken bestimmter Anwendungen oder Anwendungsgruppen ein PolicyAppId-Tag zugewiesen. Dieses Tag wird anschließend als Bereich in den Firewall-Regeln verwendet.
Dann, Firewall-Regeln, die auf PolicyAppId verweisen Es gibt zwei Hauptmethoden: Entweder man verwendet den PolicyAppId-Knoten des Firewall-CSP einer MDM-Lösung wie Microsoft Intune (wobei die Kennung im Feld „Policy Application ID“ angegeben wird) oder man erstellt lokale Regeln mit PowerShell und dem Cmdlet „New-NetFirewallRule“, wobei der Parameter „-PolicyAppId“ mit der entsprechenden Bezeichnung angegeben wird.
Dieser Ansatz verbessert die Sicherheit, weil Vermeiden Sie es, sich auf absolute Routen zu verlassen und ermöglicht es Ihnen, Anwendungen unter derselben Richtlinie zu gruppieren, wodurch der Wartungsaufwand bei Versions- oder Standortänderungen reduziert wird.
Kombination lokaler und domänenspezifischer Richtlinien
In verwalteten Umgebungen ist es unerlässlich, die Abläufe zu kontrollieren. Die örtlichen Regeln sind uneinheitlich. Ein Teamadministrator kann diese Regeln mithilfe zentralisierter Regeln erstellen, die über Gruppenrichtlinienobjekte (GPO) oder Community Service Provider (CSP) verteilt werden. Dies wird durch die Einstellung „AllowLocalPolicyMerge“ für die Regelzusammenführung pro Profil erreicht.
Mithilfe von MDM CSP-Pfaden (z. B. ./Vendor/MSFT/Firewall/MdmStore/DomainProfile/AllowLocalPolicyMerge) oder über das Gruppenrichtlinienobjekt „Windows Defender Firewall mit erweiterter Sicherheit“ können Sie festlegen, ob die Firewall zusätzlich zu den in der zentralen Richtlinie definierten Regeln auch lokal erstellte Regeln akzeptiert oder ignoriert.
In Umgebungen von hohe Sicherheit Die lokale Portweiterleitung ist üblicherweise deaktiviert, um zu verhindern, dass Benutzer und Anwendungen spontan Ausnahmen hinzufügen, die Ports unkontrolliert öffnen. Diese Maßnahme kann jedoch die Funktionalität von Anwendungen oder Diensten beeinträchtigen, die bei der Installation versuchen, automatisch eigene lokale Portregeln zu erstellen.
Daher ist es von entscheidender Bedeutung, ein/eine Anwendungsinventar Diese Systeme erfordern Ausnahmen, einschließlich der Angabe, welche Ports und Protokolle verwendet werden und aus welchen Netzwerken sie erreichbar sein sollen. Ist dies nicht ordnungsgemäß dokumentiert, kann es zu sporadischen und schwer zu diagnostizierenden Fehlern kommen.
Empfehlungen zum Design von Firewall-Regeln
Bei der Entwicklung eines einheitlichen Regelwerks gibt es eine Reihe von Aspekten zu berücksichtigen. gute Praxis Diese Vorgehensweise sollte befolgt werden, um die Entstehung eines „explosiven Cocktails“ von Ausnahmen zu vermeiden:
Wann immer möglich, verlassen Sie die Standardeinstellungen Die standardmäßige Blockierung eingehender Verbindungen durch die Windows-Firewall ist eine grundlegende Sicherheitsmaßnahme und sollte nur in sehr begründeten Fällen gelockert werden.
Wenn Sie einen Dienst aktivieren, der im Netzwerk lauschen muss, erstellen Sie Regeln in allen drei ProfilenAktivieren Sie aber nur die notwendigen Regeln. Wenn eine Anwendung beispielsweise nur in privaten Netzwerken verwendet wird, können Sie die Definition für Domäne, privat und öffentlich vorbereiten, die Regelgruppe aber nur für das private Profil aktivieren.
Verstelle die entfernte Adressen dem Profil und LAN-Topologie abbilden Bei Bedarf. Ein Dienst, der nur für das lokale Netzwerk (Heimnetzwerk oder kleines Unternehmen) bestimmt ist, sollte in privaten und öffentlichen Profilen auf das lokale Subnetz beschränkt werden, während er im Domänenprofil innerhalb des Unternehmensnetzwerks in der Regel weniger restriktiv ist. Wenden Sie diese Beschränkungen nicht auf Anwendungen an, die globalen Internetzugang benötigen.
Bei der Erstellung von Zugangsregeln sollte man so sorgfältig wie möglich vorgehen. spezifisch, dass Sie könnenVermeiden Sie jedoch die detaillierte Verwaltung einzelner Ports, wenn dies keinen Mehrwert bietet. Manchmal ist es besser, zusammenhängende Bereiche zu definieren, damit die Firewall nicht eine große Anzahl von Filtern verwalten muss, was die Leistung beeinträchtigen könnte.
Dokumentieren Sie jede Regel gründlich: welche Anwendung betroffen ist, welche Ports, welche Profile und vor allem, Wozu wurde es geschaffen? Und an welchem Datum? Diese Information ist von unschätzbarem Wert, wenn Sie Monate später die Richtlinie überprüfen oder anpassen müssen.
Besondere Überlegungen zu den Ausreiseregeln
In den meisten privaten Haushalten und vielen Unternehmen ist es üblich, dass Ausstiegsrichtlinie Verwenden Sie „Zulassen“ und erstellen Sie nur spezifische Regeln, um ganz bestimmte Dinge zu blockieren. Dies vereinfacht die Anwendungsbereitstellung erheblich.
In Umgebungen, in denen Sicherheit Vorrang vor Komfort hat, kann es jedoch sinnvoll sein, die Firewall so zu konfigurieren, dass Standardmäßig alle Ausgänge blockierenIn diesem Fall muss jede Anwendung, die eine Verbindung herstellen muss, über eine eigene Berechtigungsregel verfügen.
Damit dieses Modell funktioniert, ohne zum Albtraum zu werden, ist es unerlässlich, eine aktualisiertes Inventar Die Software wird erfasst, wobei vermerkt wird, welche Software über eine Netzwerkverbindung verfügt und um welchen Typ es sich handelt. Darauf aufbauend erstellen und verteilen Administratoren zentralisierte Regeln, die in der Regel alles blockieren, was nicht auf der Whitelist steht.
Essenzielle Dienste für den Betrieb der Firewall
Die Windows-Firewall-Komponente mit erweiterter Sicherheit stützt sich auf mehrere... SystemdiensteWenn eine dieser Komponenten nicht ausgeführt wird, kann die Firewall sich unregelmäßig verhalten oder einfach nicht funktionieren:
- Basis-Filter-Engine.
- Gruppenversicherungskunde.
- IPsec-Schlüsselgenerierungsmodule für IKE und AuthIP.
- IP-Assistent.
- IPsec-Richtlinienagent.
- Netzwerkstandorterkennung.
- Netzwerklistendienst.
- Windows-Firewall.
Wenn Sie ungewöhnliche Firewall-Probleme feststellen (z. B. wenn Regeln nicht angewendet oder Richtlinien nicht aus Gruppenrichtlinienobjekten heruntergeladen werden), empfiehlt es sich, die folgenden Einstellungen zu überprüfen: Service Manager dass alle diese Dienste ausgeführt werden und den korrekten Starttyp aufweisen.
Prüfung, Aufzeichnungen und Datenerfassung
Um komplexe Probleme zu debuggen, ist es sehr hilfreich, die Sicherheitsaudit im Zusammenhang mit der Firewall und IPsec und konfigurieren Sie eine Protokolldatei, die eine Spur der erlaubten und blockierten Verbindungen hinterlässt.
Das Kommandozeilen-Tool auditpol.exe Dies ermöglicht Ihnen das Aktivieren oder Deaktivieren von Audit-Ereigniskategorien und -unterkategorien. Beispielsweise können Sie die Kategorien wie folgt auflisten:
auditpol.exe /list /category
Und die Unterkategorien einer bestimmten Kategorie (z. B. Richtlinienänderung) können Sie mit folgendem Befehl anzeigen:
auditpol.exe /list /category:»Richtlinienänderung»
Um eine Kategorie und Unterkategorie zu aktivieren, verwenden Sie:
auditpol.exe /set /category:»Kategoriename» /SubCategory:»Unterkategoriename»
Die Firewall-Protokolldatei können Sie über die erweiterte Konsole öffnen. Firewall-Eigenschaften Klicken Sie anschließend in jedem Profil-Tab (Domäne, privat, öffentlich) im Abschnitt „Protokollierung“ auf „Anpassen“. Dort legen Sie Dateipfad und -name, die maximale Größe (zwischen 1 und 32767 KB) sowie die Protokollierung von verworfenen Paketen, erfolgreichen Verbindungen oder beidem fest.
Für eine detailliertere Analyse und Überprüfen Sie Ihr lokales NetzwerkEs ist auch eine gute Idee, zu generieren Netzwerkstatistiken und Prozesslisten: Befehle wie „netstat -ano > netstat.txt“ und „tasklist /svc > tasklist.txt“ ermöglichen es Ihnen, offene Ports, PIDs und installierte Dienste zu vergleichen und so herauszufinden, welcher Prozess hinter einem bestimmten Datenverkehr steckt.
In Unternehmensumgebungen bietet Microsoft Support-Skripte wie beispielsweise an TSS.ps1 (NET_WFP-Szenario) das erweiterte Traces von der Filterplattform sammelt und diese in einer ZIP-Datei in C:\MS_DATA verpackt, die dann an den Support gesendet werden kann.
Zusammenfassend lässt sich sagen, dass das Verständnis und die Nutzung der erweiterte Windows-Firewall-Regeln Es ermöglicht Ihnen weit mehr als nur das „Ein- oder Ausschalten der Firewall“. Durch die Kombination von sorgfältiger Regelgestaltung, dem gezielten Einsatz von Profilen, einer klaren Richtlinie zur Kombination von Direktiven und einem guten Überwachungs- und Protokollierungssystem erhalten Sie eine präzise Kontrolle über Ihren Netzwerkverkehr, ohne die Bedienbarkeit der Geräte zu beeinträchtigen.
