Regole del Firewall di Windows

Indice

• Regole del Firewall di Windows
  • Indice
  • Informazioni su Windows Firewall Ruleset
    • Regole del firewall
    • Framework del firewall
  • La visione di questo firewall
  • Licenza
  • Requisiti
    • Dettagli sui requisiti
    • Non soddisfare i requisiti
  • Primo utilizzo
    • Avvertenza
    • Nota
    • Avvio rapido
  • Gestione del firewall
    • Distribuzione automatica e interattiva del firewall
    • Gestire le regole GPO
    • Distribuire insiemi di regole individuali
    • Eliminare le regole
    • Esportare/Importare regole
  • Distribuzione remota del firewall
  • Supporto, aggiornamenti e documentazione
  • Il futuro

Informazioni su Windows Firewall Ruleset

Una soluzione completamente automatizzata per il firewall di Windows con PowerShell

Windows Firewall Ruleset configura automaticamente il firewall di Windows e applica regole restrittive specifiche per il sistema di destinazione e il software installato su di esso.

Lo stato di questo progetto è ancora alpha, clicca sul badge "status" sopra per saperne di più.
Questo progetto è composto da due parti principali, le regole del firewall e il framework del firewall come descritto di seguito:

Regole del firewall

Regole del firewall di Windows organizzate in script PowerShell individuali secondo:

• Gruppo di regole
• Direzione del traffico (es. in entrata, in uscita o IPSec)
• Tipo di software e editore
• Versione IP (IPv4 / IPv6)

Ad esempio:

• Traffico ICMP
• Regole del browser
• Software integrato nel sistema operativo
• App dello Store
• Servizi di Windows
• Giochi multigiocatore
• Programmi Microsoft
• Programmi di terze parti
• Traffico broadcast
• Traffico multicast

Framework del firewall

• Il framework del firewall è composto da una serie di moduli PowerShell, script e documentazione utilizzati per raccogliere informazioni sull'ambiente rilevanti per costruire e distribuire un firewall specializzato per il sistema di destinazione, come:

  • Computer sulla rete
  • Programmi installati
  • Calcoli sulle sottoreti IP
  • Utenti remoti o locali del sistema
  • Configurazione di rete
  • Configurazione GPO
  • Gestione del firewall
  • Analisi rapida di tracce di pacchetti e log di audit
  • Varie funzioni di troubleshooting, firewall, sistema e utilità di rete

• Pertanto questo repository è un buon punto di partenza per estendere facilmente il tuo firewall includendo più regole e funzionalità secondo le tue esigenze.

• Attualmente ci sono circa 800+ regole del firewall, 10+ moduli con 100+ funzioni, diversi script e una buona quantità di documentazione utile.

• Puoi scegliere interattivamente quali regole desideri e distribuire solo quelle, oppure puoi automatizzare il processo e distribuire tutte le regole e le impostazioni necessarie al tuo firewall.

Indice

La visione di questo firewall

1. La configurazione dettagliata del firewall è un processo che richiede tempo, comporta molto troubleshooting, le modifiche richiedono test e audit di sicurezza, e peggiora ulteriormente se è necessario distribuire il firewall a centinaia o migliaia di computer remoti, ad esempio non tutti i computer potrebbero avere lo stesso software o gli stessi requisiti di restrizione.

2. A differenza delle regole del firewall nel pannello di controllo, queste regole vengono caricate nel firewall GPO (Criteri di gruppo locali), il che significa che le modifiche alle impostazioni di sistema o programmi casuali che installano regole come parte del loro processo di installazione non avranno effetto sul firewall a meno che non si crei esplicitamente un'eccezione.

3. Le regole basate su programmi e servizi faranno verificare la firma digitale del file eseguibile specificato e saranno scansionate su VirusTotal se la firma digitale è assente; per motivi di sicurezza, la regola non viene creata o caricata nel firewall se questa verifica non riesce. (può essere forzata)

4. L'uscita predefinita è "blocca" a meno che non ci sia una regola per consentire il traffico di rete; nella maggior parte dei firewall ciò non è possibile a meno che non si mantengano regole per ogni possibile programma o servizio. Grazie a questa raccolta di regole, impostare l'uscita predefinita su blocca richiede pochissimo o nessun lavoro aggiuntivo.

5. A differenza dello scenario usuale, saprai quali regole non hanno più effetto o sono ridondanti a causa, ad esempio, di un programma disinstallato, un servizio di sistema mancante che non esiste più, un eseguibile rinominato dopo un aggiornamento di Windows e motivi simili.

6. A differenza delle regole predefinite del firewall di Windows, queste regole sono più restrittive, ad esempio legate a account utente espliciti, si applicano a porte specifiche, interfacce di rete, eseguibili specifici, servizi, ecc., il tutto appreso automaticamente dal sistema di destinazione.

7. Aggiornare, filtrare o cercare regole e attributi come porte, indirizzi e simili è molto più facile poiché queste regole sono in script; puoi utilizzare strumenti dell'editor come regex, multicursor o CTRL + F per eseguire operazioni bulk sulle tue regole; fare questo in qualsiasi interfaccia utente del firewall non è possibile a causa delle limitazioni dell'interfaccia utente.

Indice

Licenza

Questo progetto Windows Firewall Ruleset è concesso in licenza sotto la licenza MIT.

Alcuni script, file o moduli non sono concessi in licenza MIT o possono avere i propri detentori di copyright; per questo motivo le note sulla licenza e sul copyright sono mantenute "per file".

Requisiti

La tabella seguente elenca i sistemi operativi su cui Windows Firewall Ruleset è stato testato

1. Windows PowerShell 5.1 o PowerShell Core 7.3.x Scarica PowerShell Core
2. .NET Framework 4.5 (solo Windows PowerShell) Scarica .NET Framework
3. sigcheck64.exe (Altamente raccomandato) Scarica sigcheck
4. Git (Opzionale) Scarica Git
5. Visual Studio Code (Raccomandato) Scarica VSCode
6. Supporto PowerShell per VSCode (Raccomandato) Scarica estensione
7. PSScriptAnalyzer (Raccomandato) Scarica PSScriptAnalyzer

Indice

Dettagli sui requisiti

• Tutti i sistemi Windows 10.0 (Major 10, Minor 0) e successivi tranne le edizioni Home sono supportati, ma solo le edizioni elencate nella tabella sopra sono state testate.
  La colonna "Versione" elenca le release testate, tuttavia solo le build più recenti del sistema operativo continuano ad essere testate.
  Un elenco di altri sistemi e funzionalità supportati ma non testati è in Il futuro

• PowerShell Core non è integrato in Windows, dovrai installarlo separatamente o utilizzare Windows PowerShell che fa parte del sistema operativo.

• .NET Framework min. versione 4.5 è richiesto se si utilizza Windows PowerShell (edizione Desktop) invece di PowerShell Core.
  Windows 10 viene fornito con .NET 4.6 minimo (che include .NET 4.5), e Windows 11 con .NET 4.8 minimo

• sigcheck64.exe (o la versione a 32 bit sigcheck.exe) è uno strumento di verifica della firma digitale che puoi scaricare dal sito Microsoft e dovrebbe essere posizionato nella directory C:\tools o nella variabile d'ambiente %PATH%.
  Windows Firewall Ruleset lo utilizzerà per eseguire un'analisi malware basata su hash su VirusTotal per ogni eseguibile che non è firmato digitalmente prima che venga creata una regola del firewall per quell'eseguibile. Questa è solo una raccomandazione; se non c'è in ti verrà offerto di scaricarlo e se rifiuti non viene effettuata alcuna analisi malware. Usando questa funzionalità accetti i , l' e i

Indice

Non soddisfare i requisiti

Al momento questo firewall è testato e progettato per i sistemi Windows Desktop/Server più recenti ed è noto che funzioni; per utilizzarlo su sistemi più vecchi è necessario ulteriore lavoro.

I test vengono eseguiti su Windows a 64 bit; una piccola parte delle regole non funzionerà su un sistema a 32 bit e necessita di aggiustamenti; la piena funzionalità per sistemi a 32 bit è in lavorazione.
Per ora puoi caricare le regole su un sistema a 32 bit senza problemi, ad eccezione di poche regole probabilmente non rilevanti per la tua configurazione.

Per informazioni su come utilizzare questo firewall su sistemi Windows più vecchi come Windows 7 o Windows Server 2008, vedi Supporto Legacy

Indice

Primo utilizzo

Di seguito sono riportate brevi avvertenze e notifiche di cui l'utente al primo utilizzo dovrebbe essere a conoscenza prima di distribuire il firewall

Avvertenza

• Potresti perdere la connettività Internet per alcuni dei tuoi programmi o, in rari casi, perdere completamente la connettività Internet; se ciò accade, puoi temporaneamente consentire la rete in uscita in GPO o eseguire
  .\Scripts\Reset-Firewall.ps1 -Remoting -Service, per reimpostare il firewall GPO ai valori predefiniti di sistema, rimuovere tutte le regole e ripristinare WinRM e i servizi modificati ai valori predefiniti di sistema. (in seguito è necessario riavviare PowerShell)

• All'interno della directory docs c'è ResetFirewall.md, una guida su come farlo manualmente, se per qualche motivo non puoi eseguire lo script o lo script non risolve i tuoi problemi.

• Le tue regole esistenti non verranno eliminate a meno che tu non abbia regole in GPO con esattamente gli stessi nomi di gruppo delle regole di questo insieme, tuttavia questo non si applica a Scripts\Reset-Firewall.ps1 che cancellerà completamente le regole GPO e lascerà solo quelle nel pannello di controllo.

• Se vuoi essere sicuro al 100%, esporta le tue regole GPO come spiegato in Esportazione/Importazione regole

• Ti verrà chiesto quali regole caricare (se selezioni la distribuzione interattiva, vedi più avanti); per ridurre al minimo i problemi di connettività Internet, dovresti distribuire almeno tutte le regole generiche di rete e relative al sistema operativo chiamate "CoreNetworking", "ICMP", "WindowsSystem", "WindowsServices", "Multicast" incluse tutte le regole per i programmi che hai installato sul sistema; inoltre non ignorare IPv6, Windows ha bisogno di IPv6 anche se sei su una rete IPv4.
  Sarà facile eliminare ciò che non ti serve in GPO, piuttosto che cercare successivamente nel codice ciò che hai dimenticato.

• La configurazione predefinita imposterà il comportamento globale del firewall che non è configurabile in GPO, come Stateful FTP e o le impostazioni globali ; se hai bisogno di una configurazione specifica, visita e dai un'occhiata a . Nota che viene chiamato automaticamente da

Indice

Nota

• Caricare le regole in un GPO vuoto dovrebbe essere molto veloce, tuttavia caricare in un GPO che contiene già regole sarà significativamente più lento (dipende dal numero di regole esistenti nel GPO)

• Tutti gli errori e gli avvisi verranno salvati nella directory Logs; puoi consultare questi log in seguito se desideri risolvere qualche problema; la maggior parte degli avvisi e persino alcuni errori possono essere ignorati tranquillamente, in alcuni casi potresti voler risolvere gli errori se possibile.

• Qualsiasi regola che dia "Accesso negato" durante il caricamento dovrebbe essere ricaricata eseguendo nuovamente lo script specifico; vedi FAQ per maggiori informazioni sul perché ciò potrebbe accadere.

• Se il repository è stato scaricato manualmente, trasferito da un altro computer o supporto, dovresti prima sbloccare tutti i file nel repository per evitare infinite domande SÌ/NO per ogni script eseguito, eseguendo Scripts\Unblock-Project.ps1.
  Lo script principale Scripts\Deploy-Firewall.ps1 lo fa automaticamente nel caso tu lo dimentichi, ma le domande iniziali SÌ/NO saranno comunque presenti in quel caso.

• Se hai abilitato la "Protezione ransomware" (in Windows Defender), assicurati di autorizzare pwsh.exe (edizione Core) o powershell.exe (edizione Desktop) o entrambi, altrimenti si verificano errori in modalità sviluppo durante l'installazione dei moduli.
  Se il codice del repository viene scaricato in una cartella sotto protezione ransomware, qualsiasi cosa potrebbe essere bloccata.
  Potrebbe essere necessario riavviare la console PowerShell affinché le modifiche al "Controllo cartelle" abbiano effetto.

• Per impostazione predefinita, le regole sono create per il gruppo Users e per il gruppo solo se necessario; la raccomandazione è di avere un account utente standard per l'uso quotidiano del computer per motivi di sicurezza. Se sei un Amministratore e non intendi creare un account standard sul tuo computer, dovrai modificare la variabile in e specificare .

Indice

Avvio rapido

1. Se non hai chiavi SSH e altra configurazione necessaria per clonare tramite SSH, clona tramite HTTPS o semplicemente scarica il file zip rilasciato da Rilasci, e poi per l'ultima release sotto "assets" scarica il file zip.
   Questi passaggi presuppongono che tu abbia scaricato un file zip dalla sezione "assets" sotto "Releases".

2. Estrai l'archivio scaricato da qualche parte; questi passaggi presuppongono che tu abbia estratto il file zip (directory principale del repository) direttamente nell'unità radice C:\.

3. Se desideri utilizzare Windows PowerShell, vedi Come aprire Windows PowerShell
   Altrimenti la procedura sia per PowerShell Core che per Windows PowerShell è simile:
   Apri la cartella estratta, fai clic destro in uno spazio vuoto e c'è un'opzione per eseguire PowerShell Core come Amministratore (presuppone che tu abbia abilitato il menu contestuale durante l'installazione di PowerShell Core); altrimenti aprilo manualmente.

4. Se non hai il menu contestuale di PowerShell, spostati nell'unità radice C:\ eseguendo le seguenti due righe (digita o copia/incolla i comandi e premi Invio per ciascuno), questa è la posizione in cui hai estratto il file zip scaricato

   root@kitploit:~

   c:
   cd \
   

5. Spostati nella cartella scaricata:

   root@kitploit:~

   cd WindowsFirewallRuleset*
   

6. Per vedere la politica di esecuzione corrente, digita il seguente comando e premi Invio:
   (suggerimento: puoi usare il tasto TAB per il completamento automatico mentre scrivi)

   root@kitploit:~

   Get-ExecutionPolicy
   

Indice

Gestione del firewall

La sezione seguente fornisce alcuni suggerimenti per gestire il firewall con facilità

Distribuzione automatica e interattiva del firewall

Lo script Deploy-Firewall.ps1 supporta diversi parametri per consentirti di personalizzare l'automazione della distribuzione come segue:

• Per eseguire automaticamente tutte le regole senza richiesta e output conciso, ma solo per i programmi presenti sul sistema, esegui:```powershell .\Scripts\Deploy-Firewall.ps1 -Force -Quiet

- Per procedere passo dopo passo e ricevere richieste di conferma su quali set di regole caricare
e tentare di risolvere i problemi al volo, esegui:```powershell
.\Scripts\Deploy-Firewall.ps1 -Interactive

• Per essere richiesto solo per la selezione delle regole, esegui Deploy-Firewall senza parametri:```powershell .\Scripts\Deploy-Firewall.ps1

Per imparare il significato dei parametri per poterli combinare da soli, consulta il commento dello script `Deploy-Firewall.ps1` o esegui il seguente comando:```powershell
Get-Help .\Scripts\Deploy-Firewall.ps1 -Detailed

Gestione delle regole GPO

Ci sono due metodi per gestire le regole GPO:

1. Utilizzo dei Criteri di Gruppo Locali, questo metodo dà una libertà limitata su ciò che si può fare con le regole di questo repository, come disabilitarle, modificarne alcuni attributi o aggiungere nuove regole.
   Per maggiori informazioni vedere: Manage GPO Firewall

2. Modifica degli script PowerShell, questo metodo offre il controllo completo, è possibile modificare o rimuovere regole esistenti senza restrizioni o aggiungerne di nuove.

Qualunque sia il tuo piano o configurazione, vorrai sicuramente svolgere ulteriori operazioni come personalizzare le regole o aggiungerne di nuove per programmi non ancora coperti da questo firewall.

Le regole vengono caricate nei criteri di gruppo locali; se durante la configurazione del firewall hai accettato di creare un collegamento alla console di gestione personalizzata del firewall, puoi eseguire il collegamento, altrimenti segui i passaggi menzionati in Manage GPO Firewall

Per maggiori informazioni sul GPO vedere: Configure security policy settings

Table of Contents

Distribuzione di set di regole individuali

Se si desidera distribuire solo regole specifiche, ci sono due modi per farlo:

1. Eseguire Scripts\Deploy-Firewall.ps1 e scegliere Sì solo per i set di regole desiderati, altrimenti scegliere No e premere Invio per saltare il set di regole corrente.

2. Nella console di PowerShell navigare cd nella directory contenente lo script del set di regole desiderato ed eseguire lo script individuale.
   Ad esempio cd .\Rules\IPv4\Outbound\Software seguito da .\Adobe.ps1 per caricare le regole per Adobe.

Potresti voler eseguire Scripts\Complete-Firewall.ps1 successivamente per applicare il comportamento predefinito del firewall se non è già impostato, oppure puoi farlo manualmente in GPO ma con poteri limitati. "potere limitato" significa che Scripts\Complete-Firewall.ps1 configura alcuni parametri del firewall che non possono essere regolati nell'interfaccia grafica del firewall.

In entrambi i casi, tutte le regole che corrispondono al gruppo del set di regole, DisplayGroup, verranno eliminate prima di caricare le regole in GPO.

Table of Contents

Eliminazione delle regole

Al momento ci sono tre opzioni per eliminare le regole del firewall:

1. Il modo più semplice è selezionare tutte le regole da eliminare in GPO, fare clic con il tasto destro ed eliminare.

2. Per eliminare le regole in base a un file esiste una funzione a questo scopo, situata in:
   Modules\Ruleset.Firewall\Public\Remove-FirewallRule.ps1
   tuttavia è necessario prima esportare il firewall in un file prima di utilizzarla.

3. Per ripristinare il vecchio stato del firewall (quello del pannello di controllo), è necessario eliminare tutte le regole da GPO e impostare tutte le proprietà su Non configurato dopo aver fatto clic con il tasto destro sul nodo:
   Windows Defender Firewall with Advanced Security - Local Group Policy Object

L'eliminazione di tutte le regole o il ripristino allo stato precedente può essere fatto anche con Scripts\Reset-Firewall.ps1
Nota che dovrai anche reimportare le regole GPO esportate se le avevi.

Table of Contents

Esportazione/Importazione delle regole

Se si desidera esportare le regole da GPO, sono disponibili due metodi:

1. Esportare nei criteri di gruppo locali facendo clic sul menu Export Policy..., dopo aver fatto clic con il tasto destro sul nodo:
   Windows Defender Firewall with Advanced Security - Local Group Policy Object

2. Per esportare usando PowerShell eseguire Scripts\Backup-Firewall.ps1
   Se si desidera personalizzare l'esportazione, vedere la funzione Export-RegistryRule situata nel modulo Ruleset.Firewall, che consente di personalizzare l'esportazione in quasi tutti i modi desiderati.

Se si desidera importare le regole, l'importazione utilizzando GPO è uguale a quella per l'esportazione e per importare con PowerShell basta eseguire Scripts\Restore-Firewall.ps1 che recupererà i file di esportazione precedenti.

Per personalizzare l'esportazione/importazione, consultare Modules\Ruleset.Firewall\Public, dove troverai la descrizione su come utilizzare le funzioni del modulo di esportazione/importazione.

NOTA: La funzione Export-FirewallRule è molto lenta, si consiglia di eseguire invece la funzione Export-RegistryRule che è il più veloce possibile.

Table of Contents

Distribuzione remota del firewall

Questa sezione e funzionalità è attualmente sperimentale e non completamente completa, al momento è supportata la distribuzione su un singolo computer remoto.

Nella distribuzione remota del firewall sono coinvolti almeno due computer, uno è chiamato computer di gestione (client) e tutti gli altri sono chiamati computer gestiti (server).

Gli script vengono eseguiti dall'amministratore sul computer di gestione, e il firewall viene quindi distribuito o configurato su più computer server contemporaneamente.

Per i dettagli di implementazione vedere il modulo Modules\Ruleset.Remote

NOTA: La funzionalità di remoting non è esclusiva della distribuzione remota del firewall, anche la distribuzione su localhost per progettazione richiede una configurazione funzionante di WinRM e PS remoting.

Prima di poter eseguire la distribuzione remota, il computer remoto (server) deve essere configurato per accettare la connessione; un esempio su come stabilire una connessione SSL è il seguente:

Per consentire l'esecuzione, configurare il servizio WinRM e il registro remoto sul computer server eseguendo:

NOTA: Se si utilizza PowerShell Core, omettere -Protocol HTTPS da Enable-WinRMServer di seguito; questo abiliterà sia HTTP che HTTPS, che è una soluzione temporanea per il modulo di compatibilità per funzionare in sessione remota.```powershell

On server computer

Set-ExecutionPolicy -Scope LocalMachine RemoteSigned Set-Location C:\Path\to\WindowsFirewallRuleset Import-Module .\Modules\Ruleset.Remote Enable-WinRMServer -Protocol HTTPS -KeepDefault -Confirm:$false Enable-RemoteRegistry -Confirm:$false

Dopo aver eseguito questi passaggi, all'interno della directory `\Exports` troverai il file del certificato SSL (*.cer) che deve essere copiato nel computer di gestione, anch'esso nella directory `\Exports`.\
Per impostazione predefinita, viene creato un certificato SSL autofirmato se il computer server non ne possiede già uno.

**NOTA:** La configurazione manuale del computer server viene eseguita una sola volta per l'impostazione iniziale, non è necessario ripeterla per le distribuzioni successive.

Il passo successivo è passare al computer di gestione ed eseguire gli script come desiderato, ad esempio:```powershell
# On management computer
cd C:\Path\to\WindowsFirewallRuleset\Scripts
Deploy-Firewall -Domain "RemoteComputerName"

Entrambi i set di comandi precedenti devono essere eseguiti nella stessa edizione di PowerShell, ad esempio se il server è stato configurato in PowerShell Core, anche il computer client necessita di PowerShell Core per la distribuzione.
Se il server o il computer di gestione è una workstation (ad esempio non un server Windows o parte di un dominio), il suo profilo di rete deve essere impostato su profilo privato.

La distribuzione remota può essere personalizzata in grande dettaglio nelle seguenti posizioni:

• Per personalizzare il servizio WinRM vedere: Modules\Ruleset.Remote\Scripts\WinRMSettings.ps1
• Per personalizzare la configurazione della sessione WSMan vedere: Modules\Ruleset.Remote\Scripts\*Firewall.pssc
• Per personalizzare il certificato SSL autofirmato vedere: Modules\Ruleset.Remote\Public\Register-SslCertificate.ps1
• Per personalizzare la configurazione delle sessioni PS e CIM vedere: Modules\Ruleset.Remote\Scripts\SessionSettings.ps1

Per ulteriori informazioni e suggerimenti per la risoluzione dei problemi, vedere anche Guida al remoting

Table of Contents

Supporto, aggiornamenti e documentazione

Per supporto, segnalazioni di problemi, suggerimenti o personalizzazione di questo repository e metodi per aggiornare periodicamente questo firewall, fare riferimento a SUPPORT.md

Table of Contents

Il futuro

Le seguenti funzionalità sono desiderate e potrebbero essere disponibili in futuro:

1. Amministrazione remota del firewall

   • Distribuzione della configurazione del firewall a più computer remoti in domini o reti domestiche

2. Set di regole firewall completi per le edizioni di Windows Server e sistemi gateway dedicati.

3. Scansione del registro su richiesta o programmata per convalidare l'integrità dei criteri di filtro del firewall attivo e delle impostazioni del firewall

   • Qualsiasi regola o impostazione del firewall nel registro che non fa parte di questo repository viene segnalata per la revisione.
   • Poiché malware, hacker e persino software attendibili possono tentare di aggirare il firewall in qualsiasi momento

4. Piena funzionalità per le seguenti edizioni non ancora testate di Windows 10.0

   • Windows 10 e 11 Pro per Workstation
   • Windows 10 e 11 IoT Core Blast
   • Windows 10 e 11 IoT Enterprise
   • Windows 10 e 11 S

5. Funzionalità per sistemi x86

Table of Contents