Windows Defender

Windows Defender

Windows Defender 防火墙 有助于防止黑客 获 恶意软件 通过 Internet 或 网络访问你的电脑

Windows Defender 高级安全防火墙提供基于主机的双向网络流量筛选, 并阻止未经授权的网络流量流入或留出本地设备.

根据以下Windows配置防火墙有助于优化对网络中设备的保护.

这些建议涵盖各种部署, 包括 家庭网络 和 企业桌面/服务器系统

若要打开 Windows防火墙, 请转到 开始 菜单,

1. 保留默认设置

首次打开 Windows Defender 防火墙时, 可以看到 适用于 本地计算机的默认设置.

概述 面板 显示设备 可连接到的 每种类型的 安全网络

1, 域配置文件, 用于存在针对 域控制器身份验证系统的网络, (DC), 如 Azure Active Directory DC

2, 专用配置文件, 专为 专用网络 (如 家庭网络) 设计且最适用于

3, 公共配置文件, 专为热点, WiFi, 机场, 机场或商店等公共网络设计, 具有更高的安全性

右键单击左窗格中的 高级安全防火墙 Windows Defender, 然后选择 属性, 查看 每个配置文件的详细设置

尽可能在 防火墙 Windows Defender 默认设置, 这些设置旨在保护设备的安全, 以用于大多数网络方案.

一个案件示例 是 入站连接 的 默认阻止行为

若要保持最大的安全性, 请不要更改 入站连接的 默认阻止设置

2. 了解入站规则 的 规则优先级

在许多情况下, 管理员的下一步是 使用 规则自定义这些配置文件(有时称为 筛选器),

以便它们可以使用用户应用 获 其他类型的 软件.

例如, 管理员 或 用户 可以选择添加规则 以 容纳程序, 打开端口 或 协议, 或允许预定义类型的流量

这可以通过 右键单击 “入站规则” 或 “出站规则”, 然后选择 “新建规则” 来完成

在很多情况下, 应用程序在网络中运行需要允许特定类型的 入站通信

在允许这些入站异常时, 管理员应记住 一下规则 优先级行为

1, 显式定义的允许规则将优先于默认阻止设置

2, 显式阻止规则将 优先于 任何冲突的 允许规则

3, 更具体的规则 将 优先于 不太具体的规则, 2 中提及的 显式阻止规则 除外

(例如, 如果规则1的参数包含IP地址范围, 而规则2的参数包含单个IP主机地址, 则规则2将优先)

由于1 和 2, 因此在设计 一组策略时, 请务必确保 不存在 可能无意重叠的 其他显式阻止规则, 从而阻止希望允许的流量流

创建 入站规则的 一般安全最佳做法是 尽可能具体. 但是, 当必须 制定使用端口或IP地址的新规则时, 请考虑使用连续的范围 或 子网, 而不是使用单个地址 或 端口(如果可能), 这可以 避免在底层创建多个筛选器, 降低复杂性, 并有助于避免性能下降

备注

Windows Defender 防火墙, 不支持由管理员分配的 传统加权规则排序.

通过记住上述几个一致且符合逻辑的 规则行为, 可创建具有预期行为的 有效策略集

3. 在首次启动前创建 新应用程序 的 规则

入站允许规则

首次安装时, 网络应用程序 和 服务 会发出 侦听调用, 指定它们正常运行所需的 协议/端口信息, 由于防火墙中存在 默认阻止 Windows Defender, 因此必须创建入站异常规则 以 允许此流量.

应用 获 应用安装程序 本身 通常添加 此防火墙规则.

否则, (或防火墙管理员代表用户)手动创建规则

如果没有活动的 应用程序 或 管理员 定义的允许规则(), 则对话框将提示用户 在 首次启动应用 或 尝试 在 网络通信时 允许应用程序 的 数据包

如果 用户 具有管理员权限, 系统将提示他们, 如果响应 否 或 取消提示, 将创建 阻止规则.

通常创建 两个规则, 分别用于 TCP 和 UDP流量

如果用户不是 本地管理员, 将不会提示他们. 在大多数情况下, 将创建阻止规则

在以上任一方案中, 添加这些规则后, 必须删除他们才能再次生成提示. 如果没有, 将继续阻止流量

备注

防火墙的 默认设置 专为 安全设计. 默认情况下 允许所有 入站连接 会向网络引入各种威胁.

因此, 为来自第三方软件的 入站连接 创建 例外应由 受信任的 应用开发人员, 用户 或 管理员代表 用户确定

4. 自动规则 创建 已知问题

为网络设计一组防火墙策略时, 最好为主机上部署的任何网络应用程序 配置允许规则.

在用户首次启动应用程序之前 就位这些规则 有助于确保无缝体验

缺少这些规则 并不一定意味着 应用程序 最终将无法在网络通信, 但是, 在运行时自动创建 应用程序规则所涉及的行为 需要用户 交互 和 管理权限, 如果设备预期由 非管理用户使用. 你应该遵循最佳做法, 在应用程序首次启动之前提供这些规则, 以避免意外的网络问题

若要确定阻止某些应用程序在网络中进行通信的原因, 请检查以下各项

1, 具有足够权限的用户将收到 查询通知, 通知他们应用程序 需要更改 防火墙策略.

无法完全理解提示, 用户会取消 或 消除提示

2, 用户缺乏足够的权限, 因此不会提示 应用程序进行适当的 策略更改

3, 本地策略合并被禁用, 阻止应用程序 或 网络服务 创建 本地规则

管理员也可以 禁止在运行时创建应用程序规则, 设置组策略

---

参考链接

配置防火墙 Windows Defender 最佳实践

https://docs.microsoft.com/zh-cn/windows/security/threat-protection/windows-firewall/best-practices-configuring