metablaster/windowsfirewallrulesetWindows 방화벽 규칙을 자동으로 생성하는 PowerShell 스크립트
![대체 텍스트][corporate firewall]
[![알파 릴리스][badge status]][alpha]
PowerShell을 사용한 Windows 방화벽의 완전 자동화 솔루션
Windows Firewall Ruleset은 Windows 방화벽을 자동으로 구성하고 대상 시스템 및 시스템에 설치된 소프트웨어에 특화된 제한적인 방화벽 규칙을 적용합니다.
이 프로젝트의 상태는 아직 알파이며, 자세한 내용은 위의 "status" 배지를 클릭하십시오.
이 프로젝트는 다음과 같이 방화벽 규칙과 방화벽 프레임워크의 두 가지 주요 부분으로 구성됩니다.
Windows 방화벽 규칙은 다음 기준에 따라 개별 PowerShell 스크립트로 정렬됩니다.
예를 들어:
방화벽 프레임워크는 대상 시스템에 특화된 방화벽을 구축 및 배포하는 데 관련된 환경 정보를 수집하는 여러 PowerShell 모듈, 스크립트 및 문서로 구성됩니다. 예:
따라서 이 저장소는 원하는 대로 더 많은 규칙과 기능을 포함하도록 방화벽을 쉽게 확장할 수 있는 좋은 시작점입니다.
현재 약 800개 이상의 방화벽 규칙, 100개 이상의 함수를 포함하는 10개 이상의 모듈, 여러 스크립트 및 많은 양의 유용한 문서가 있습니다.
원하는 규칙을 대화형으로 선택하여 배포하거나, 프로세스를 자동화하여 필요한 모든 규칙과 설정을 방화벽에 배포할 수 있습니다.
[![VSCode에서 관리][badge vscode]][vscode] [![PowerShell][badge language]][powershell]
세부 방화벽 구성은 시간이 많이 소요되는 프로세스이며, 많은 문제 해결이 필요하고, 변경 사항은 테스트와 보안 감사가 필요하며, 수백 또는 수천 대의 원격 컴퓨터에 방화벽을 배포해야 하는 경우 상황은 더욱 악화됩니다. 예를 들어 모든 컴퓨터가 동일한 소프트웨어나 제한 요구 사항을 가지고 있지 않을 수 있습니다.
제어판의 방화벽 규칙과 달리, 이러한 규칙은 GPO 방화벽(로컬 그룹 정책)에 로드됩니다. 즉, 시스템 설정 변경이나 설치 과정의 일부로 규칙을 설치하는 임의의 프로그램은 명시적으로 예외를 만들지 않는 한 방화벽에 영향을 미치지 않습니다.
프로그램 및 서비스 기반 규칙은 지정된 실행 파일의 디지털 서명이 확인되고, 디지털 서명이 없는 경우 VirusTotal에서 검사됩니다. 보안상의 이유로 이 확인에 실패하면 규칙이 생성되거나 방화벽에 로드되지 않습니다. (강제 가능)
기본 아웃바운드는 네트워크 트래픽을 허용하는 규칙이 없는 경우 "차단"입니다. 대부분의 방화벽에서는 모든 가능한 프로그램 또는 서비스에 대한 규칙을 유지하지 않는 한 이 기능을 사용할 수 없습니다. 이 규칙 모음 덕분에 기본 아웃바운드를 차단으로 설정하는 데 추가 작업이 거의 또는 전혀 필요하지 않습니다.
일반적인 시나리오와 달리, 더 이상 효과가 없거나 중복되는 규칙(예: 제거된 프로그램, 더 이상 존재하지 않는 시스템 서비스, Windows 업데이트 후 이름이 변경된 실행 파일 등)을 알 수 있습니다.
미리 정의된 Windows 방화벽 규칙과 달리, 이러한 규칙은 명시적 사용자 계정에 연결되고, 특정 포트, 네트워크 인터페이스, 특정 실행 파일, 서비스 등에 적용되며, 이 모든 것이 대상 시스템에서 자동으로 학습됩니다.
규칙 및 포트, 주소 등의 속성을 업데이트, 필터링 또는 검색하는 것이 훨씬 쉽습니다. 이러한 규칙은 스크립트에 있으므로 regex, [multicursor][multicursor] 또는 CTRL + F와 같은 편집기 도구를 사용하여 규칙에 대한 대량 작업을 수행할 수 있습니다. 방화벽 UI에서는 사용자 인터페이스 제한으로 인해 이 작업이 불가능합니다.
코드의 상당 부분은 대상 시스템 및 사용자에 특화된 방화벽을 구축하고 정의하는 자동화된 솔루션을 제공하는 데 전념하여 수동 작업의 필요성을 최소화하고 귀중한 관리 시간을 절약합니다.
이 프로젝트 Windows Firewall Ruleset은 MIT 라이선스에 따라 라이선스가 부여됩니다.
일부 스크립트, 파일 또는 모듈은 MIT 라이선스가 아니거나 자체 저작권 보유자가 있을 수 있으므로 라이선스 및 저작권 표시는 "파일별로" 유지됩니다.
[![Windows][badge system]][windows]
다음 표는 Windows Firewall Ruleset이 테스트된 운영 체제를 보여줍니다.
| OS | 에디션 | 버전 | 아키텍처 |
|---|---|---|---|
| Windows 10 | Pro | 1809 - 22H2 | x64 |
| Windows 10 | Pro Education | 20H2 | x64 |
| Windows 10 | Enterprise | 1809 - 20H2 | x64 |
| Windows 10 | Education | 20H2 - 22H2 | x64 |
| Windows 11 | Pro Education | 21H2 | x64 |
| Windows 11 | Pro | 22H2 - 23H2 | x64 |
| Windows 11 | Enterprise | 22H2 | x64 |
| Windows Server 2019 | Essentials | 1809 | x64 |
| Windows Server 2019 | Standard | 1809 | x64 |
| Windows Server 2019 | Datacenter | 1809 | x64 |
| Windows Server 2022 | Standard | 21H2 | x64 |
| Windows Server 2022 | Datacenter | 21H2 | x64 |
sigcheck64.exe (강력 권장) [sigcheck 다운로드][sigcheck]모든 Windows 10.0 시스템(주 버전 10, 부 버전 0) 이상 중 Home 에디션을 제외한 시스템이 지원되지만, 위 표에 나열된 에디션만 테스트되었습니다.
"버전" 열은 테스트된 릴리스를 나열하지만, 최신 OS 빌드만 계속 테스트됩니다.
테스트되지 않았지만 지원되는 기타 시스템 및 기능 목록은 미래를 참조하십시오.
PowerShell Core는 Windows에 내장되어 있지 않으므로 별도로 설치하거나 운영 체제의 일부인 Windows PowerShell을 사용해야 합니다.
.NET Framework 최소 버전 4.5는 PowerShell Core 대신 Windows PowerShell(데스크톱 에디션)을 사용하는 경우 필요합니다.
Windows 10은 최소 .NET 4.6(.NET 4.5 포함)과 함께 제공되며, Windows 11은 최소 .NET 4.8과 함께 제공됩니다.
sigcheck64.exe(또는 32비트 sigcheck.exe)는 Microsoft 사이트에서 다운로드할 수 있는 디지털 서명 확인 도구이며, C:\tools 디렉토리나 %PATH% 환경 변수에 배치해야 합니다.
Windows Firewall Ruleset은 이 도구를 사용하여 디지털 서명되지 않은 모든 실행 파일에 대해 VirusTotal에서 해시 기반 온라인 악성 코드 분석을 수행한 후 해당 실행 파일에 대한 방화벽 규칙을 만듭니다.
이는 권장 사항일 뿐이며, PATH에 sigcheck64.exe가 없으면 다운로드하라는 메시지가 표시되고 거부하면 악성 코드 분석이 수행되지 않습니다.
이 기능을 사용함으로써 [VirusTotal 서비스 약관][virustotal terms], [VirusTotal 개인정보 보호정책][virustotal privacy] 및 [Sysinternals 소프트웨어 사용권 약관][sysinternals terms]에 동의하게 됩니다.
업데이트 확인, 분기 간 전환 또는 코드 기여를 위해 git을 사용하는 것이 좋습니다.
VS Code는 코드 탐색 및/또는 필요에 따라 스크립트 편집 또는 기여를 위해 선호되고 권장되는 편집기입니다.
VSCode를 설치하는 경우 코드 탐색 및 PowerShell 언어 기능을 위해 PowerShell 확장도 필요합니다.
VSCode로 코드를 탐색하고 편집하려면 PSScriptAnalyzer를 강력히 권장합니다. 그렇지 않으면 다양한 저장소 설정으로 인해 편집 환경이 비정상적으로 작동할 수 있습니다.
하드웨어 요구 사항은 없지만, 코드를 작성하고 디버그하려면 최소 8GB 메모리와 SSD 드라이브를 권장합니다. 그렇지 않고 개인 방화벽에 규칙을 배포하기만 하면 더 적은 사양으로도 충분합니다.
현재 이 방화벽은 가장 최신의 Windows 데스크톱/서버에서 테스트 및 설계되었으며 작동이 확인되었습니다. 이전 시스템에서 사용하려면 추가 작업이 필요합니다.
테스트는 64비트 Windows에서 수행되었으며, 소수의 규칙은 32비트 시스템에서 작동하지 않으며 조정이 필요합니다. 32비트 시스템에 대한 전체 기능은 작업 중입니다.
지금은 귀하의 구성과 관련이 없을 몇 가지 규칙을 제외하고 32비트 시스템에서 규칙을 정상적으로 로드할 수 있습니다.
Windows 7 또는 Windows Server 2008과 같은 이전 Windows 시스템에서 이 방화벽을 사용하는 방법에 대한 정보는 레거시 지원을 참조하십시오.
다음은 방화벽을 배포하기 전에 처음 사용자가 알아야 할 간단한 경고 및 주의 사항입니다.
일부 프로그램의 인터넷 연결이 끊어지거나 드문 경우 완전히 인터넷 연결이 끊어질 수 있습니다. 이런 경우 GPO에서 아웃바운드 네트워크를 일시적으로 허용하거나
.\Scripts\Reset-Firewall.ps1 -Remoting -Service를 실행하여 GPO 방화벽을 시스템 기본값으로 재설정하고 모든 규칙을 제거하며 WinRM 및 수정된 서비스를 시스템 기본값으로 복원할 수 있습니다.
(이후 PowerShell 재시작 필요)
docs 디렉토리 안에는 스크립트를 실행할 수 없거나 스크립트로 문제가 해결되지 않는 경우 수동으로 재설정하는 방법에 대한 안내인 ResetFirewall.md가 있습니다.
이 규칙 집합의 규칙과 정확히 동일한 그룹 이름을 가진 GPO 규칙이 없는 한 기존 규칙은 삭제되지 않습니다. 단, 이는 GPO 규칙을 완전히 지우고 제어판의 규칙만 남기는 Scripts\Reset-Firewall.ps1에는 적용되지 않습니다.
100% 확실하게 하려면 내보내기/가져오기 규칙에 설명된 대로 GPO 규칙을 내보내십시오.