配置 Windows Defender 防火墙的最佳做法

配置 Windows Defender 防火墙的最佳做法

本文内容

提供基于主机的双向流量过滤，可阻止进出本地设备的未经授权的流量。 根据以下最佳实践配置防火墙可以帮助您增强对网络设备的保护。 这些建议涵盖各种部署，包括家庭网络和企业桌面/服务器系统。

要打开防火墙，请转到“开始”菜单，选择“运行”，键入“WF.msc”，然后选择“确定”。 另请参阅打开防火墙。

保持默认

首次打开防火墙时，您会看到本地计算机的默认设置。 “概述”窗格显示设备可以连接到的每种网络类型的安全设置。

图 1：防火墙

：用于域控制器存在帐户身份验证系统的网络 ：专用且最适用于专用网络，例如家庭网络 ：设计时考虑了公共网络（例如 Wi-Fi 热点、咖啡店、机场、酒店或商店）以确保安全

右键单击左窗格顶部的高级安全防火墙，然后选择属性以查看每个配置文件的详细设置。

尽量不要更改防火墙的默认设置。 这些设置旨在确保您可以在大多数网络场景中安全地使用您的设备。 默认设置中的一个关键示例是入站连接的默认阻止行为。

图 2：默认入站/出站设置

重要提示

为了获得最大的安全性，请勿更改入站连接的默认阻止设置。

有关配置基本防火墙设置的详细信息，请参阅打开防火墙并配置默认行为和清单：配置基本防火墙设置。

了解入站规则的规则优先级

在许多情况下，管理员的下一步是使用规则自定义这些配置文件（有时称为过滤器），以便他们可以使用用户应用程序或其他类型的软件。 例如，管理员或用户可以选择添加规则以适应程序、开放端口或协议，或允许预定义的流量类型。

此规则添加任务是通过右键单击入站规则或出站规则并选择新建规则来完成的。 添加新规则的界面如下：

图 3：规则创建向导

注意

本文不包括分步规则配置。 有关策略创建的一般指导，请参阅高级安全防火墙部署指南。

在许多情况下，需要允许某些类型的入站流量才能使应用程序在网络上正常运行。 在允许此类入站异常时，管理员应牢记以下规则优先级行为。

明确定义的允许规则将优先于默认的阻止设置。 显式阻止规则将优先于任何冲突的允许规则。 更具体的规则将优先于不太具体的规则，除非在 2 中提到了明确的阻止规则。（例如，如果规则 1 的参数包含 IP 地址范围，而规则 2 的参数包含 IP 主机地址，则规则 2 采用优先。）

由于第 1 条和第 2 条，在设计一组策略时，务必确保没有其他显式阻止规则可能会无意中重叠，从而阻止您想要允许的流量。

创建入站规则的一般安全最佳做法是尽可能具体。 但是，当您必须创建使用端口或 IP 地址的新规则时，请考虑使用连续范围或子网而不是单个地址或端口（如果可能）。 这种方法避免了在引擎盖下创建多个过滤器，降低了复杂性，并有助于避免性能下降。

注意

防火墙不支持管理员分配的加权规则的传统排序。 牢记以上几个一致且合乎逻辑的规则行为，您可以创建具有预期行为的有效策略集。

在首次启动前为新应用程序创建规则入站允许规则

首次安装时，网络应用程序和服务进行监听调用，指定它们正常运行所需的协议/端口信息。 由于防火墙中的默认阻止，必须创建入站例外规则以允许此类流量。 应用程序或应用程序安装程序本身通常会添加此防火墙规则。 否则，用户（或代表用户的防火墙管理员）需要手动创建规则。

如果没有活动的应用程序或管理员定义的允许规则，当应用程序首次启动或尝试在网络上通信时，将出现一个对话框提示用户允许或阻止应用程序的数据包。

在上述任何一种情况下，添加这些规则后，必须先删除它们，然后才能再次生成提示。 如果不这样做，流量将继续受阻。

注意

防火墙的默认设置旨在保护您的安全。 默认情况下允许所有入站连接会给网络带来各种各样的威胁。 因此，由受信任的应用程序开发人员、用户或代表用户的管理员决定应为入站连接创建哪些第三方软件例外。

自动规则创建的已知问题

为网络设计防火墙策略时，最好为主机上部署的任何网络应用程序配置允许规则。 在用户首次启动应用程序之前创建适当的规则有助于为用户提供无缝体验。

没有这些循序渐进的规则并不一定意味着应用程序最终将无法在网络上进行通信。 但是，在运行时自动创建应用程序规则所涉及的操作需要用户交互和管理权限。 如果设备预期由非管理用户使用，您应该遵循在应用程序首次启动之前提供这些规则的最佳实践，以避免意外的网络问题。

要确定某些应用程序被阻止在网络上进行通信的原因，请检查以下实例：

具有足够权限的用户将收到查询通知，通知他们应用程序需要更改防火墙策略。 提示未完全理解，用户取消或忽略了提示。 用户缺乏足够的权限，因此不会提示他们允许应用程序进行适当的策略更改。 禁用本地策略合并，防止应用程序或网络服务创建本地规则。

管理员还可以使用设置应用程序或组策略在运行时禁用应用程序规则的创建。

图 4：允许访问的对话框

另请参阅清单：创建入站防火墙规则。

制定本地政策合并和应用规则

可以部署以下防火墙规则：

在本地使用防火墙管理单元 (WF.msc) 如果设备是名称的成员，则远程使用组策略，或者使用工作区加入

规则合并设置控制来自不同策略源的规则如何组合。 管理员可以为域、私有和公共配置文件配置不同的合并行为。

除了从组策略获得的规则外，规则合并设置还用于允许或阻止本地管理员创建他们自己的防火墙规则。

图 5：规则合并设置

暗示

在防火墙配置服务提供者中，等效设置为 e。 此设置可以在每个相应的配置文件节点、、、和。

如果禁用本地策略合并，任何需要入站连接的应用程序都需要集中部署规则。

管理员可以在高安全性环境中禁用以保持对端点的更严格控制。 如上所述，此设置可能会影响某些在安装时自动生成本地防火墙策略的应用程序和服务。 为了使此类应用程序和服务正常运行，管理员应通过组策略 (GP)、移动设备管理 (MDM) 或两者（混合或共同管理环境）集中推送规则。

防火墙 CSP 和策略 CSP 也有影响规则合并的设置。

最佳做法是列出并记录此类应用程序，包括用于通信的网络端口。 通常，可以在应用程序的网站上找到必须为给定服务打开的端口。 更复杂的部署或客户应用程序部署可能需要使用网络数据包捕获工具进行更全面的分析。

一般来说，为了最大限度地提高安全性，管理员应该只将防火墙例外推送到他们确定用于合法目的的应用程序和服务。

注意

应用程序规则不支持使用通配符模式，例如 C:*\teams.exe。 目前，我们仅支持使用应用程序的完整路径创建的规则。

了解如何使用“防御”模式阻止主动攻击

“防御”模式是一项重要的防火墙功能，您可以使用它来减轻主动攻击时造成的损害。 这是一个非正式术语，指的是防火墙管理员可以用来在受到主动攻击时临时提高安全性的一种简单方法。

可以在设置应用程序或旧文件.cpl中勾选“阻止所有传入连接，包括允许应用程序列表中的入站连接”，以达到保护效果。

图 6：设置应用程序/安全中心/防火墙保护/网络类型

图 7：旧版 .cpl

默认情况下，除非创建例外规则，否则防火墙会阻止所有内容。 此设置覆盖异常。

例如，远程桌面功能在启用时会自动创建防火墙规则。 但是，如果使用多个端口和服务对主机进行主动攻击，而不是禁用单个规则，保护模式可用于阻止所有入站连接，覆盖以前的例外情况，包括远程桌面规则。 远程桌面规则保持不变，但只要激活保护，远程访问就不会起作用。

紧急情况结束后，取消选中设置以恢复正常网络流量。

创建出站规则

以下是配置出站规则时要遵循的一些一般准则。

有关创建出站规则的任务，请参阅清单：创建出站防火墙规则。

记录变化

创建入站或出站规则时，您应该指定有关应用程序本身的详细信息、使用的端口范围以及创建日期等重要说明。 规则必须妥善记录以供您和其他管理员查看。 我们强烈建议您花些时间让您以后更轻松地查看防火墙规则。 永远不要在你的防火墙上制造不必要的漏洞。