Как скрыть порты в comodo firewall

Обновлено: 05.07.2024

Основные режимы фаервола в окне расширенной настройки: «Пользовательский набор правил», когда для всех программ, не имеющих сетевого правила, будет возникать оповещение, и «Безопасный режим», когда «доверенным» программам по умолчанию разрешаются исходящие соединения (но для входящих возникнет оповещение). Подробно порядок применения правил рассматривается ниже. Дополнительные, малоиспользуемые режимы: «Полная блокировка», когда пресекается любая сетевая активность, независимо от правил, и «Режим обучения», при котором любые соединения разрешаются и автоматически создаются разрешающие правила.

Опция «Создавать правила для безопасных приложений» предписывает в «Безопасном режиме» не только разрешать сетевую активность «доверенным» программам, но и автоматически создавать правила для них. Не рекомендуется включать, как и в случае с HIPS. На работу в режиме «Пользовательский набор правил» эта опция не влияет.

Если отмечена опция «Не показывать оповещения», то вместо оповещения будет применяться выбранное действие: разрешение или блокировка. Новые правила при этом создаваться не будут. Рекомендуется установить режим «Не показывать оповещения: Блокировать запросы» после создания всех необходимых правил.

Если при ответе на оповещение поставить в нем галку «Запомнить мой выбор», то создастся соответствующее правило. Опция «Уровень частоты оповещений» определяет, насколько детализированным будет это правило. Если, например, установить уровень «Очень низкий», то правило будет разрешать или запрещать сразу любую сетевую активность. Рекомендуется уровень «Очень высокий»: тогда правило будет содержать IP-адрес и порт.

Если включена опция «Автоматически обнаруживать частные сети», то при подключении к новой сети появится оповещение, предлагающее указать ее статус. При этом создастся новая запись в списке сетевых зон, а в случае выбора статуса «домашней» или «рабочей» сети, также разрешающие правила для нее. Если отключить эту опцию, то подключение произойдет без оповещения и без создания новых правил, т.е. сеть будет молча воспринята как «общественная» (рекомендуется).

При подключении к незащищенной Wi-Fi сети возникают оповещения с предложением воспользоваться платным сервисом Trustconnect. Показ этих оповещений отключается соответствующей опцией.

Чтобы контролировать соединения внутри компьютера (например, запрещать определенным программам выход в интернет через локальный прокси-сервер), понадобится отметить опцию «Включить фильтрацию loopback-трафика» (рекомендуется).

Для контроля соединений по IP-протоколу версии не только IPv4, но и IPv6 следует отметить опцию «Включить фильтрацию IPv6-трафика» (рекомендуется).

Опция «Блокировать фрагментированный IP-трафик» защищает от атаки, основанной на отправлении TCP-пакета, фрагментированного настолько сильно, что не удается определить его заголовок и принадлежность к TCP-сессии. Рекомендуется включить.

Опция «Анализировать протокол» предписывает проверять каждый пакет на соответствие стандартам протокола, поддельные пакеты при этом блокируются. Рекомендуется включить.

Наконец, опция «Включить защиту от ARP-спуфинга» защищает ARP-таблицу от изменения злоумышленником, отправляющим «самопроизвольный ARP-ответ» (ответ без запроса). Рекомендуется включить.

Задание правил фаервола

Задание правил для приложений

Обычный порядок создания правила для приложения:

открыть вкладку «Правила для приложений», нажать «Добавить»;
указать приложение, это можно сделать разными способами:
- нажать «Обзор» > «Файлы» и указать файл;
- нажать «Обзор» > «Запущенные процессы» и выбрать приложение;
- нажать «Обзор» и выбрать группу файлов;
- непосредственно в поле «Имя» ввести путь либо шаблон с использованием символов «*» и «?» (эта возможность появилась в версии CIS 7);
- либо нажать «Использовать набор правил» и выбрать из списка нужную политику;
- либо нажать «Использовать собственный набор правил» и добавить собственные правила (можно скопировать какой-либо набор);
При добавлении собственного правила потребуется указать:

Отметим, что в качестве адреса отправления/назначения может выступать не только единичный IP-адрес, но и сетевая зона, и множество других объектов, а также можно инвертировать выбор опцией «Исключить». Аналогично портами источника/назначения могут быть наборы портов, в т.ч. инвертированные. Следует учитывать, что удаленный адрес для исходящего соединения — это «Адрес назначения», а удаленный для входящего — это «Адрес отправления»; аналогично с портами. Поэтому, вообще говоря, одновременное разрешение входящих и исходящих соединений с каким-либо удаленным узлом задается двумя правилами:
- одно правило разрешает входящие с удаленного узла на любой адрес;
- другое разрешает исходящие с любого адреса на данный удаленный узел.
При задании набора из нескольких правил следует упорядочить их с учетом того, что приоритет имеет правило, расположенное выше.

Глобальные правила

Глобальные правила определяют сетевую активность компьютера в целом, их ограничения имеют приоритет над правилами для приложений. Запреты, заданные в глобальных правилах, более эффективны, чем в правилах для приложений. В частности, глобальное скрытие портов делает компьютер невидимым при попытке их сканирования.

Существуют предустановленные наборы глобальных правил. Интерфейс переключения между ними представлен как выбор режима видимости компьютера в сети: «Блокировать входящие соединения» или «Оповещать о входящих соединениях» («Главное окно» > «Задачи» > «Задачи фаервола» > кнопка «Скрыть порты»).

Создание собственных глобальных правил производится аналогично правилам для приложений, отличается лишь отсутствием действия «Спросить».

Группы файлов, сетевые зоны, наборы портов и наборы правил

Можно сократить множество однотипных операций и добиться более наглядного представления правил, если создавать свои группы файлов, сетевые зоны, наборы портов и свои наборы правил.

О группах файлов было рассказано раньше. Например, их использование позволяет создать правила для работы и автообновления Flash-плеера или Java, так как при этих процессах меняются имена файлов и используются временно создаваемые загрузчики. В версии CIS 7 стало возможным указывать шаблоны имен без использования групп файлов, однако группы по-прежнему предпочтительны благодаря наглядности и компактности.

На вкладке «Наборы правил» можно увидеть, какие правила содержатся в предопределенных политиках фаервола, а также изменить эти политики либо создать собственные. В дальнейшем можно будет назначать эти политики приложениям: через вкладку «Правила для приложений» либо через оповещения фаервола. Отметим, что в оповещении будут предлагаться только те политики, в которых задано однозначное действие для данной сетевой активности: разрешение или запрет. Например, если приложение попытается обратиться к веб-серверу на порт 80, то в оповещении не будет предложена политика «Почтовый клиент», но политики «Веб-браузер», «FTP-клиент» и др. — будут.

На вкладке «Наборы портов» можно сгруппировать любую комбинацию портов в именованный набор, чтобы потом использовать его в правилах в качестве порта отправления или назначения. При создании наборов можно комбинировать единичные порты, диапазоны портов, а также их инверсии.

Вкладка «Сетевые зоны» имеет следующую особенность: на ней можно не только группировать адреса в именованные «зоны» для их дальнейшего использования в правилах (в качестве адреса отправления или назначения), но и задавать статус этих зон. Так, если создать зону, а затем добавить ее на вкладку «Заблокированные зоны», то все соединения с ней будут блокированы, независимо от правил (при этом не запрещается использование находящегося в этой зоне шлюза, но запрещается использование его как DNS-сервера). Кроме того, сетевую зону можно отметить статусом «Сеть общего доступа»: согласно официальному руководству, это должно повлиять на защиту, однако остается неясным, как именно.

Особенности применения правил фаервола

Обратим внимание, что в правилах для приложений в фаерволе, как и в HIPS, запоминаются только пути к файлам, соответствие контрольных сумм не проверяется. Кроме того, если путь к программе меняется по причине переименования или перемещения, то фаервол может воспринимать программу находящейся на прежнем месте. Это будет выражаться в том, что для данной программы будут действовать правила, где она записана по старому пути, и не действовать правила с новым путем. Проблема решается перезагрузкой.

Как и для HIPS, ограничения фаервола не наследуются дочерними процессами.

Порядок рассмотрения правил

При обнаружении сетевой активности сначала проверяется, принадлежит ли удаленный адрес к какой-либо заблокированной зоне. Если принадлежит, то соединение блокируется. Если нет — начинается рассмотрение глобальных правил.

Глобальные правила просматриваются сверху вниз. Если для запрашиваемого вида соединения первым обнаруживается правило с действием «блокировать», соединение запрещается. Если подходящего правила не находится или первым обнаруживается разрешающее правило — начинается рассмотрение правил для приложений.

В официальном руководстве Comodo сказано, что для исходящих соединений сначала анализируются правила для приложений, а затем глобальные. Однако данные журнала говорят об обратном.

Правила для приложений в фаерволе обрабатываются иначе, чем в HIPS.

Когда какая-либо программа пытается установить соединение (разрешенное глобальными правилами), список приложений и правил для них просматривается сверху вниз. При первом же найденном совпадении (т.е. когда встретится данная программа или содержащая ее группа программ и запрашиваемый вид соединения) выполнится действие, указанное в правиле: разрешить, блокировать или показать оповещение с вопросом. Если при этом отмечена опция «Не показывать оповещения», то вместо оповещения выполнится действие по умолчанию («Разрешать запросы» или «Блокировать запросы»). Если подходящего правила не найдется, то показ оповещения (или действие по умолчанию) произойдет в следующих случаях:
- либо когда выбран режим «Пользовательский набор правил»;
- либо когда выбран «Безопасный режим», а программа не является «доверенной»;
- либо когда выбран «Безопасный режим», а запрашиваемое соединение является входящим (если входящие не блокируются глобальными правилами).
«Доверенная» же программа при отсутствии правил в «Безопасном режиме» автоматически получит разрешение на исходящее соединение.

Подобным образом, сверху вниз, просматриваются и правила HIPS. Но, в отличие от фаервола, немедленно выполняться будут только действия «разрешить» или «блокировать». В случае же действия «спросить» поиск правил продолжится. И только при отсутствии разрешающих или запрещающих правил появится оповещение.

Доступ к ресурсам локальной сети

По умолчанию в правилах фаервола отсутствуют разрешения на получение информации о сетевом окружении, открытие в локальной сети общего доступа к файлам и т.п. Эти разрешения не нужны, если сеть используется только для доступа к интернету.

Одной из причин отсутствия доступа к компьютеру в локальной сети может оказаться брандмауэр Windows. Напомню, что его следует отключать перед установкой CIS.

Статус «доверенной сети»

Разрешения для локальной сети проще всего создаются назначением ей статуса «доверенной». Это можно сделать разными способами.

Если включена опция «Автоматически обнаруживать новые частные сети», то при подключении к новой сети возникает оповещение, в котором нужно указать свое местонахождение. Статус «доверенной» назначается выбором вариантов «дома» или «на работе». Это приведет к созданию пары глобальных правил, разрешающих любые исходящие и любые входящие соединения с этой сетью, и пары аналогичных правил для процесса System («Система»). При выборе варианта «в общественном месте» новые правила не создаются.

Если обнаружение новых сетей отключено или сети ранее был назначен статус «общественной», то следует открыть окно «Управление сетями» («Главное окно» > «Задачи» > «Задачи фаервола»), отметить пункт «Доверять сети» и нажать «Ok». Результат будет аналогичен предыдущему.

Чтобы обратно вернуть сети нейтральный статус, проще всего отметить пункт «Блокировать сеть» в окне «Управление сетями», а затем в окне настройки открыть вкладку «Сетевые зоны» > «Заблокированные зоны» и удалить данную сеть оттуда.

Минимальные разрешения для доступа к локальной сети

Устанавливать доверие локальной сети можно только в случае полной ее безопасности. Поэтому рекомендуется назначать сети нейтральный статус («общественное место»), включать режим блокирования входящих соединений, а затем добавлять необходимые разрешения. В дополнение к имеющимся изначально правилам для приложений понадобится разрешить для процесса System следующие входящие соединения (везде «адрес отправления» — локальная сеть):
- UDP-соединения с портом источника 137 и портом назначения 137: чтобы можно было обращаться к компьютерам по NetBIOS-именам;
- UDP-соединения с портом источника 138 и портом назначения 138: чтобы при этом видеть сетевое окружение;
- TCP-соединения с портом назначения 445: для открытия общего доступа к файлам.
Чтобы при создании правил указать «System» в качестве приложения, нужно выбрать его из запущенных процессов.

Проблемы фаервола

Хотя фаервол Comodo считается одним их лучших, отметим пару известных его проблем. Во-первых, в режиме «Оповещать о входящих» могут молча пропускаться входящие широковещательные соединения: UDP c адресом назначения 255.255.255.255. И, во-вторых, некорректно устроено определение IP-адреса по имени хоста: если указать в правиле в качестве адреса доменное имя, то CIS найдет минимальный и максимальный IP-адреса для этого имени, а затем все промежуточные IP будет считать принадлежащими ему же. Еще одна особенность, которая, скорее всего, не считается багом: фаервол Comodo не контролирует входящие loopback-соединения (но контролирует исходящие). Так, при использовании локального прокси достаточно разрешить только исходящие соединения в интернет для прокси-сервера и исходящие в «localhost» для браузера (тогда как многие другие фаерволы потребовали бы еще разрешить входящие из «localhost» для прокси-сервера).

Контент-фильтр

Категории. Импорт пользовательских списков

Списки адресов или их шаблонов (использующих символ «*») называются категориями. Собственные категории Comodo — «Безопасные сайты», «Фишинговые сайты» и «Вредоносные сайты». Они обновляются автоматически, их невозможно просмотреть или изменить. Остальные категории — доступные для изменения пользователем — задаются на вкладке «Контент-фильтр» > «Категории». Изначально там находится категория «Исключения», в нее попадают сайты, исключенные из блокировки через оповещения в браузере.

Имеет смысл добавить категории со списками вредоносных сайтов из других источников. Рекомендуются списки MVPS Hosts list и Symantec WebSecurity. Для получения последнего следует зарегистрироваться на сайте MalwarePatrol. Также различные списки можно найти на других ресурсах.

Чтобы использовать дополнительный список, следует на вкладке «Категории» через контекстное меню создать новую пустую категорию, а затем импортировать список из файла.

Если требуется удалить все содержимое категории, нельзя делать это в один прием (иначе удалится сама категория). Следует раскрыть категорию, выделить ее, затем снять выделение с одной записи и удалить остальные через контекстное меню. Потом можно будет удалить оставшуюся запись, чтобы сделать категорию пустой.

Правила контент-фильтра. Предотвращение некорректной работы

Каждое правило контент-фильтра содержит список категорий, к которым оно применяется, и список пользователей или их групп с указанием их ограничений. Интерфейс изменения списка категорий очевиден.

Пользователи и их группы добавляются через контекстное меню в поле «Ограничения»: «Добавить» > «Дополнительно. » > «Типы объектов» > отметить все > «Ok» > «Поиск» > выбрать нужную запись > «Ok».

Обычно в качестве пользователя используется группа «Все». Если же требуется задать разные ограничения разным пользователям, следует обязательно указать ограничения для каждого из них. Иначе пользователь, не указанный в правиле, получит доступ к сайтам из перечисленных категорий даже при наличии другого запрещающего правила.

Согласно официальному руководству, для Windows 8 и 8.1 в каждом правиле к списку пользователей следует добавлять запись «ВСЕ ПАКЕТЫ ПРИЛОЖЕНИЙ» («ALL APPLICATION PACKAGES») с теми же ограничениями, что и у пользователей. Иначе блокировка не будет работать для Internet Explorer 11.

Для корректной работы с исключениями из блокировки следует поместить разрешающее правило (Allowed Sites) выше запрещающего (Blocked Sites). Однако в целом порядок обработки правил непредсказуем. В отличие от обычных правил фаервола, в контент-фильтре нельзя полагаться на приоритет правила, расположенного выше.

Основные режимы фаервола в окне расширенной настройки: , когда для всех программ, не имеющих сетевого правила, будет возникать оповещение, и , когда доверенным программам по умолчанию разрешаются исходящие соединения. Подробно порядок применения правил рассматривается ниже. Дополнительные, малоиспользуемые режимы: , когда пресекается любая сетевая активность, независимо от правил, и , при котором любые соединения разрешаются и автоматически создаются разрешающие правила.

Опция «Создавать правила для безопасных приложений» предписывает в «Безопасном режиме» не только разрешать сетевую активность доверенным программам, но и автоматически создавать правила для них. Не рекомендую включать, как и в случае с HIPS. На работу в режиме «Пользовательский набор правил» эта опция не влияет.

Если отмечена опция «Не показывать оповещения», то вместо оповещения будет применяться выбранное действие: разрешение или блокировка. Новые правила при этом создаваться не будут. Рекомендую установить режим «Не показывать оповещения: Блокировать запросы» после создания всех необходимых правил.

Если при ответе на оповещение отметить в нем опцию «Запомнить мой выбор», то создастся соответствующее правило. Опция «Уровень частоты оповещений» определяет, насколько детализированным будет это правило. Если, например, установить уровень «Очень низкий», то правило будет разрешать или запрещать сразу любую сетевую активность. Рекомендую уровень «Очень высокий»: тогда правило будет содержать IP-адрес и порт.

Если включена опция «Автоматически обнаруживать частные сети» на вкладке «Сетевые зоны», то при подключении к новой сети появится оповещение, предлагающее указать ее статус. При этом создастся новая запись в списке сетевых зон, а в случае выбора статуса «домашней» или «рабочей» сети также будут созданы разрешающие правила для нее. Если одновременно с этой опцией включена опция «Не показывать оповещения, считая, что место подключения к Интернету. », то новые записи о сетевых зонах и разрешающие правила для них будут создаваться автоматически, без оповещений. Рекомендую отключить обе опции: в этом случае подключение произойдет без оповещения и без создания новых правил, т.е. сеть будет молча воспринята как «общественная».

При подключении к незащищенной Wi-Fi сети возникают оповещения с предложением воспользоваться платным сервисом Trustconnect. Показ этих оповещений отключается соответствующей опцией.

Чтобы контролировать соединения внутри компьютера (например, запрещать определенным программам выход в интернет через локальный прокси-сервер), понадобится отметить опцию «Включить фильтрацию loopback-трафика» (рекомендую).

Для контроля соединений по IP-протоколу версии не только IPv4, но и IPv6 следует отметить опцию «Включить фильтрацию IPv6-трафика» (рекомендую).

Опция «Блокировать фрагментированный IP-трафик» защищает от атаки, основанной на отправлении TCP-пакета, фрагментированного настолько сильно, что не удается определить его заголовок и принадлежность к TCP-сессии. Рекомендую включить.

Опция «Анализировать протокол» предписывает проверять каждый пакет на соответствие стандартам протокола, поддельные пакеты при этом блокируются. Рекомендую включить.

Наконец, опция «Включить защиту от ARP-спуфинга» защищает ARP-таблицу от изменения злоумышленником, отправляющим «самопроизвольный ARP-ответ» (ответ без запроса). Рекомендую включить.

Создание правил фаервола

Правила для приложений

Обычный порядок создания правила для приложения:
- открыть вкладку «Правила для приложений», нажать «Добавить»;
- указать приложение, это можно сделать разными способами:
  - нажать Обзор → Файлы и указать файл;
  - нажать Обзор → Запущенные процессы и выбрать приложение;
  - нажать Обзор и выбрать группу файлов;
  - непосредственно в поле «Имя» ввести путь (либо шаблон с использованием символов * и ? и переменных среды);
  - либо нажать «Использовать набор правил» и выбрать из списка нужный набор;
  - либо нажать «Использовать собственный набор правил» и добавить собственные правила (можно скопировать какой-либо набор);
  При добавлении собственного правила потребуется указать:
  
  Отмечу, что в качестве адреса отправления/назначения может выступать не только единичный IP-адрес, но и сетевая зона, и множество других объектов, а также можно инвертировать выбор опцией «Исключить». Аналогично портами источника/назначения могут быть наборы портов, в т.ч. инвертированные. Следует учитывать, что удаленный адрес для исходящего соединения — это «Адрес назначения», а удаленный для входящего — это «Адрес отправления»; аналогично с портами. Поэтому, вообще говоря, одновременное разрешение входящих и исходящих соединений с каким-либо удаленным узлом задается двумя правилами:
  - одно правило разрешает входящие с удаленного узла на любой адрес;
  - другое разрешает исходящие с любого адреса на данный удаленный узел.
  При задании набора из нескольких правил следует упорядочить их с учетом, что приоритет имеет правило, расположенное выше.
  
  Глобальные правила
  
  Глобальные правила определяют сетевую активность компьютера в целом, их ограничения имеют приоритет над правилами для приложений. Запреты, заданные в глобальных правилах, более эффективны, чем в правилах для приложений. В частности, глобальное скрытие портов делает компьютер невидимым при попытке их сканирования.
  
  Существуют предустановленные наборы глобальных правил. Интерфейс переключения между ними представлен как выбор режима видимости компьютера в сети: «Блокировать входящие соединения» или «Оповещать о входящих соединениях» (Главное окно → Задачи → Задачи фаервола → Скрыть порты).
  
  Создание собственных глобальных правил производится аналогично правилам для приложений, отличается лишь отсутствием действия «Спросить».
  
  Группы файлов, сетевые зоны, наборы портов и наборы правил
  
  Можно сократить множество однотипных операций и добиться более наглядного представления правил, если создавать свои группы файлов, сетевые зоны, наборы портов и свои наборы правил.
  
  Группы файлов формируются на вкладке Рейтинг файлов → Группы файлов, это именованные наборы путей их шаблонов с использованием подстановочных символов * и ? и переменных среды. Например, их использование позволяет создать правила для работы и автообновления Flash-плеера или Java, так как при этих процессах меняются имена файлов и используются временно создаваемые загрузчики. Можно указывать шаблоны имен без использования групп файлов, однако группы предпочтительны благодаря наглядности, компактности, а также возможности назначать ограничения определенного рода одновременно в разных компонентах защиты. Например, можно завести группу «NoInternet», которой будут одновременно запрещены непосредственные интернет-соединения, DNS-запросы, использование службы BITS, запуск браузера и доступ к его памяти.
  
  На вкладке «Наборы правил» можно увидеть, какие правила содержатся в предопределенных политиках фаервола, а также изменить эти политики либо создать собственные. В дальнейшем можно будет назначать эти политики приложениям: через вкладку «Правила для приложений» либо через оповещения фаервола. Отмечу, что в оповещении будут предлагаться только те политики, в которых задано однозначное действие для данной сетевой активности: разрешение или запрет. Например, если приложение попытается обратиться к веб-серверу на порт 80, то в оповещении не будет предложена политика «Почтовый клиент», но политики «Веб-браузер», «FTP-клиент» и др. — будут.
  
  На вкладке «Наборы портов» можно сгруппировать любую комбинацию портов в именованный набор, чтобы потом использовать его в правилах в качестве порта отправления или назначения. При создании наборов можно комбинировать единичные порты, диапазоны портов, а также их инверсии.
  
  Вкладка «Сетевые зоны» имеет следующую особенность: на ней можно не только группировать адреса в именованные «зоны» для их дальнейшего использования в правилах (в качестве адреса отправления или назначения), но и задавать статус этих зон. Так, если создать зону, а затем добавить ее на вкладку «Заблокированные зоны», то все соединения с ней будут блокированы, независимо от правил. Кроме того, сетевую зону можно отметить статусом «Сеть общего доступа».
  
  Порядок применения правил фаервола
  
  При обнаружении сетевой активности сначала проверяется, принадлежит ли удаленный адрес к какой-либо заблокированной зоне. Если принадлежит, то соединение блокируется. Если нет — начинается рассмотрение глобальных правил.
  
  Глобальные правила просматриваются сверху вниз. Если для запрашиваемого вида соединения первым обнаруживается правило с действием «блокировать», соединение запрещается. Если подходящего правила не находится или первым обнаруживается разрешающее правило — начинается рассмотрение правил для приложений.
  
  В официальном руководстве Comodo сказано, будто для исходящих соединений сначала анализируются правила для приложений, а затем глобальные. Однако данные журнала говорят об обратном.
  
  Правила для приложений в фаерволе обрабатываются иначе, чем в HIPS.
  
  Когда какая-либо программа пытается установить соединение (разрешенное глобальными правилами), список приложений и правил для них просматривается сверху вниз. При первом же найденном совпадении (т.е. когда встретится данная программа или содержащая ее группа программ и запрашиваемый вид соединения) выполнится действие, указанное в правиле: разрешить, блокировать или показать оповещение (если в настройке включена опция «Не показывать оповещения», то вместо оповещения выполнится действие, указанное в этой опции: разрешение или блокировка).
  
  Если в списке правил фаервола не найдется подходящего, то соединение будет автоматически разрешено в следующих случаях:
  - когда фаервол работает в «Режиме обучения» (в этом случае создастся разрешающее правило);
  - когда включена опция «Не показывать оповещения: Разрешать запросы»;
  - когда фаервол работает в «Безопасном режиме», отключена опция «Не показывать оповещения», а программа является доверенной и выполняется в реальной среде;
  - когда фаервол работает в «Безопасном режиме», программа является доверенной и выполняется в реальной среде, а запрашиваемое соединение исходящим.
  В остальных случаях возникает оповещение или, если включена опция «Не показывать оповещения: Блокировать запросы», соединение запрещается.
  
  В частности, отмечу, что программы, выполняющиеся виртуально, контролируются фаерволом независимо от их рейтинга. Поэтому, даже если фаервол работает в «Безопасном режиме», понадобится создать разрешающие правила, чтобы пользоваться браузерами в виртуальной среде COMODO.
  
  Можно заметить, что при «Безопасном режиме» фаервол несколько нелогично обрабатывает входящие соединения доверенных программ. Вероятно, это баг.
  
  Доступ к ресурсам локальной сети
  
  По умолчанию в правилах фаервола отсутствуют разрешения на получение информации о сетевом окружении, открытие в локальной сети общего доступа к файлам и т.п. Эти разрешения не нужны, если сеть используется только для доступа к интернету.
  
  Статус «доверенной сети»
  
  Разрешения для локальной сети проще всего создаются назначением ей статуса «доверенной». Это можно сделать разными способами.
  
  Если включена опция «Автоматически обнаруживать новые частные сети» на вкладке «Сетевые зоны», то при подключении к новой сети возникает оповещение, в котором нужно указать свое местонахождение. Статус «доверенной» назначается выбором вариантов «дома» или «на работе». Это приведет к созданию пары глобальных правил, разрешающих любые исходящие и любые входящие соединения с этой сетью, и пары аналогичных правил для процесса System («Система»). При выборе варианта «в общественном месте» новые правила не создаются.
  
  Если обнаружение новых сетей отключено или сети ранее был назначен статус «общественной», то следует открыть окно «Управление сетями» (Главное окно → Задачи → Задачи фаервола), отметить пункт «Доверять сети» и нажать «Ok». Результат будет аналогичен предыдущему.
  
  Чтобы обратно вернуть сети нейтральный статус, проще всего отметить пункт «Блокировать сеть» в окне «Управление сетями», а затем в окне настройки открыть вкладку Сетевые зоны → Заблокированные зоны и удалить данную сеть оттуда.
  
  Имеется баг: когда для активной сети не создана сетевая зона и фактически эта сеть обрабатывается как «общественная», то в окне «Управление сетями» для данной сети будет указан статус «доверенной».
  
  Внимание! Если в таком окне нажать кнопку «Ok», то активная сеть действительно станет «доверенной», т.е. появится соответствующая запись в списке сетевых зон и создадутся правила фаервола, разрешающие соединения в этой сети. Если доверие сети не требуется, то следует закрывать окно «Управление сетями» кнопкой «Отмена».
  
  Пример разрешений для доступа к локальной сети
  
  Устанавливать доверие локальной сети можно только в случае полной ее безопасности. Поэтому рекомендуется назначать сети нейтральный статус («общественное место»), включать режим блокирования входящих соединений, а затем добавлять необходимые разрешения. Обычно для доступа к сетевым ресурсам необходимо, в дополнение к имеющимся изначально правилам, разрешить процессу System («Система») следующие входящие соединения (везде «адрес отправления» — локальная сеть):
  - UDP-соединения с портом источника 137 и портом назначения 137: чтобы можно было обращаться к компьютерам по NetBIOS-именам;
  - UDP-соединения с портом источника 138 и портом назначения 138: чтобы при этом видеть сетевое окружение;
  - TCP-соединения с портом назначения 445: для открытия общего доступа к файлам.
  Чтобы при создании правил указать «System» в качестве приложения, нужно выбрать его из запущенных процессов.
  
  Особенности фаервола
  
  Фаервол Comodo не контролирует входящие loopback-соединения (но контролирует исходящие). Так, при использовании локального прокси достаточно разрешить только исходящие соединения в интернет для прокси-сервера и исходящие в «localhost» для браузера (тогда как многие другие фаерволы потребовали бы еще разрешить входящие из «localhost» для прокси-сервера).
  
  Своеобразно устроено определение IP-адреса по имени хоста: если указать в правиле в качестве адреса доменное имя, то CIS найдет минимальный и максимальный IP-адреса для этого имени, а затем все промежуточные IP будет считать принадлежащими ему же.
  
  Особенность версии CIS 10, которую можно назвать достоинством, — стала определяться принадлежность ICMP-трафика различным приложениям. Прежние версии CIS (а также, например, Брандмауэр Windows) воспринимали этот трафик принадлежащим процессу System.
  
  Контент-фильтр
  
  Категории. Импорт пользовательских списков
  
  Списки адресов или их шаблонов (использующих символы * и ? ) называются категориями. Собственные категории Comodo — «Безопасные сайты», «Фишинговые сайты» и «Вредоносные сайты». Они обновляются автоматически, их невозможно просмотреть или изменить. Остальные категории — доступные для изменения пользователем — задаются на вкладке «Контент-фильтр» > «Категории». Изначально там находится категория «Исключения», в нее попадают сайты, исключенные из блокировки через оповещения в браузере.
  
  Имеет смысл добавить категории со списками вредоносных сайтов из других источников. Рекомендуются списки MVPS Hosts list и Symantec WebSecurity. Для получения последнего следует зарегистрироваться на сайте MalwarePatrol.
  
  Чтобы использовать дополнительный список, следует на вкладке «Категории» через контекстное меню создать новую пустую категорию, а затем импортировать список из файла. При выборе файла необходимо указать формат списка, иначе контент-фильтр будет работать некорректно (типичная ошибка пользователей).
  
  Формат записей в категориях контент-фильтра
  
  Записи в категориях контент-фильтра могут выглядеть доменными именами, адресами отдельных страниц, а также шаблонами с символом подстановки * и ? .
  
  (Использование знака ? вместо какой-либо буквы предотвращает неявную подстановку символа * к концу строки.)
  
  Правила контент-фильтра
  
  Каждое правило контент-фильтра содержит список категорий, к которым оно применяется, и список пользователей или их групп с указанием их ограничений. Интерфейс изменения списка категорий очевиден.
  
  Пользователи и их группы добавляются через контекстное меню в поле «Ограничения»: «Добавить» > «Дополнительно. » > «Типы объектов» > отметить все > «Ok» > «Поиск» > выбрать нужную запись > «Ok».
  
  Обычно в качестве пользователя используется группа «Все». Если же требуется задать разные ограничения разным пользователям, следует обязательно указать ограничения для каждого из них. Иначе не исключено, что пользователь, не указанный в правиле, получит доступ к сайтам из перечисленных категорий даже при наличии другого запрещающего правила.
  
  Согласно официальному руководству, для Windows 8 и выше в каждом правиле к списку пользователей следует добавлять запись «ВСЕ ПАКЕТЫ ПРИЛОЖЕНИЙ» («ALL APPLICATION PACKAGES») с теми же ограничениями, что и у пользователей. Иначе блокировка не будет работать для Internet Explorer 11.
  
  Для корректной работы с исключениями из блокировки правило «Разрешенные сайты» должно находиться выше правила «Заблокированные сайты».
  
  И сейчас я снова буду говорить о защите Фаерволом, но уже от другого разработчика и который можно установить отдельно вместе с любым антивирусным продуктом, не устанавливая специально комплексную защиту от одного производителя. Продукт, о котором я хочу рассказать называется – Comodo Firewall. Самые главные его преимущества – бесплатность и высокое качество защиты трафика!
  
  В одной из предыдущих статей я уже упоминал, что Comodo предлагает также бесплатный антивирус (о нём читайте вот тут: «Ещё один хороший бесплатный антивирус – Comodo») или вовсе бесплатную комплексную защиту: Comodo Internet Security. Однако сам антивирус от данного разработчика не является таким надёжным, как, например, Антивирус Касперского или Avast, поэтому рекомендую от Comodo ставить только фаервол и отдельно — надёжный антивирус от другого разработчика. Либо использовать пакет Kaspersky Internet Security.
  
  Рассмотрим установку и основные настройки фаервола от Comodo.
  
  Процесс установки Comodo Firewall
  
  Установка отдельного продукта Comodo Firewall, можно сказать, вообще ничем не отличается от установки антивируса от Comodo, поэтому я разберу этот процесс более кратко – без комментариев к каждой настраиваемой опции.
  
  Более подробные комментарии по установке вы можете найти в начале статьи, ссылка на которую дана выше.
  
  Для начала скачиваем продукт Comodo Firewall с официального сайта и для этого сперва переходим по ссылке:
  
  В главном верхнем меню на сайте выбираем «Home & Home Office», после чего в распахивающемся меню кликаем по ссылке «Comodo Firewall»:
  
  Откроется новая страница сайта, где в центре вверху нужно нажать кнопку «Free Firewall Download»:
  
  Нажав данную кнопку, в зависимости от вашего браузера, сразу начнётся скачивание установочного пакета Фаервола, либо будет выдан запрос на сохранение файла:
  
  В таком случае необходимо через открывшийся проводник выбрать папку для сохранения установщика и нажать кнопку «Сохранить».
  
  Нам остаётся дождаться скачивания установщика (размер последней версии – 219 Мб.), после чего запустить скачанный файл.
  
  Запускаем скачанный установочный файл Comodo Firewall (Файл последней на данный момент версии имеет название: «cfw_installer_6106_53.exe»):
  
  Начнётся распаковка установщика и через несколько секунд появится первое окно, в котором выбираем язык и нажимаем «ОК»:
  
  В следующем окне выставляем настройки как на изображении ниже и не торопимся нажимать кнопку «Вперёд» :) Сначала кликаем по ссылке «Настроить установку»:
  
  Вернувшись обратно в окно установщика, нажимаем кнопку «Вперёд».
  
  В следующем окне настроек установки отключаем все навязываемые дополнительные плагины и опции для браузера (см. изображение ниже), после чего нажимаем «Согласен.Установить»:
  
  И сразу же начнётся процесс установки с заданными нами параметрами и займёт это около 2-х минут.
  
  Вот и весь процесс установки :) Идём дальше.
  
  Настройка Comodo Firewall
  
  Сразу после установки Фаервола появится всплывающее окно, в котором нужно выбрать к какой сети вы подключены. Выбираем «Я нахожусь дома»:
  
  Компьютер перезагрузится и после загрузки системы компоненты Фаервола уже будут включены и предупреждающий значок исчезнет.
  
  Если у вас Windows 7, то справа на рабочем столе будет красоваться ненужный совершенно виджет от Comodo :) Вот так он выглядит:
  
  Уберём его. Для этого щёлкаем правой кнопкой мыши по значку Comodo в трее, выбираем пункт «Виджет», а затем щёлкаем по кнопке, отмеченной галочкой «Показать»:
  
  В результате виджет исчезнет и больше не будет мозолить глаза, а также потреблять ресурсы системы :)
  
  Теперь снова запускаем главное окно Comodo Firewall с рабочего стола или из трея и выполняем обновление баз, нажав соответствующую кнопку (см. изображение ниже):
  
  И далее нажимаем кнопку «Проверить наличие обновлений»:
  
  Запустится обновление баз и если новые версии есть, они обновятся. После этого окно закроется автоматически через несколько секунд.
  
  Даже если вы установили последнюю версию антивируса или фаервола с официального сайта разработчика, я всё равно рекомендую сразу после установки продукта проверять обновления.
  
  Теперь переходим непосредственно к проверке настроек компонента – фаервола. Для удобного доступа ко всем настройкам переключаемся в расширенный режим главного окна. Для этого в левом верхнем углу нажимаем на маленькую кнопочку как на изображении ниже:
  
  Теперь главное окно Comodo Firewall немного преобразуется, и мы увидим большее количество функций. Но главное то, что теперь мы сможем легко перейти к настройкам самого фаервола. Для этого просто щелкаем по ссылке «Фаервол» в левом верхнем углу:
  
  В итоге мы попадаем в первое окно настроек фаервола Comodo.
  
  Как только мы перешли в настройки, перед нами будет открыто самое первое меню из категории «Фаервол» – «Настройки Фаервола».
  
  На этой вкладке рекомендую не менять настройки и оставить их заданными по умолчанию, как показано на изображении ниже:
  
  Эти настройки являются оптимальными, но я сделаю некоторые комментарии.
  
  Галочка «Включить Фаервол», понятное дело, отвечает за включение или отключение защиты. Ни в коем случае не снимайте галочку, иначе толку от установленного Comodo Firewall сразу не будет никого, поскольку сам фаервол попросту будет выключен :)
  
  Рядом с галочкой для включения / отключения фаервола, расположен список, где можно выбрать режим безопасности. Расскажу коротко об этих режимах:
  
  Полная блокировка. Выбрав данный режим, фаервол будет блокировать абсолютно все соединения, как входящие, так и исходящие и из любых сетей. Ваш компьютер будет словно изолирован подобно тому, если бы вы отключили все сети на компьютере и вынули сетевой кабель.
  
  Данный режим, в принципе, и не нужен как таковой, поскольку целесообразность его применения может быть только при работе в крайне опасных незащищённых сетях, в которых толпами гуляют различные вирусные угрозы.
  
  Пользовательский набор правил. Выбрав данный режим, фаервол будет работать и выполнять блокировку трафика только руководствуясь правилами для программ и сетей, которые мы зададим самостоятельно. При этом фаервол не будет учитывать, что программа является доверенной и имеет цифровую подпись. Он будет принимать решения только исходя из заданных нами правил.
  
  Этот режим рекомендую выбирать только очень опытным пользователям, которые уже давно применяют фаерволы в качестве дополнительной защиты системы и уже хорошо ознакомились с принципом их работы и настройками.
  
  Безопасный режим. Именно этот режим я рекомендую использовать. При работе в данном режиме фаервол сам создаёт большинство правил для доверенных приложений, имеющих действительные цифровые подписи. Исходя из этого он выбирает, какие соединения разрешать тому или иному приложению, а какие – нет. При обнаружении неопознанных и недоверенных программ, Comodo предоставит пользователю выбор, разрешить или заблокировать соединение, сообщая какие действия собиралось выполнять данное приложение.
  
  Режим обучения. В данном режиме фаервол не будет показывать никакие уведомления и будет сам создавать правила для всех приложений, разрешая им сетевые запросы. Режим можно использовать только в том случае, если вы на 100% уверены в надёжности установленных на компьютере приложений. Как правило, такого быть не может, поэтому данный режим использовать не рекомендую :)
  
  Итак, рекомендуемый мой выбор – «Безопасный режим».
  
  В меню фаервола «Правила для приложений» мы можем задавать правила для любых приложений или увидеть уже созданные ранее правила.
  
  Все уже созданные правила будут видно сразу же если щёлкнуть по меню «Правила для приложений». Для того, чтобы добавить своё правило, щёлкаем правой кнопкой мыши по пустой области в окне и выбираем пункт «Добавить»:
  
  Теперь покажу на примере как заблокировать доступ к сети любой из программ.
  
  Для этого в открывшемся окне, в первую очередь, нужно выбрать программу, для которой мы создаём правило (как я указал для примера: заблокировать выход в сеть). Щелкаем по кнопке «Обзор», после чего можно выбрать сразу множество файлов, выбрав пункт «Группы файлов» и отметив соответствующую группу. Также можно выбрать один из запущенных в данный момент процессов в системе и создать правило блокировки для него. Но удобнее выбрать пункт «Файлы»:
  
  После того как выберем «Файлы», откроется проводник, где нужно выбрать программу, для которой будем создавать правило. Для примера я буду блокировать выход в интернет известному браузеру – Mozilla Firefox. Ищу папку, где установлен Firefox и выбираю файл, отвечающий за запуск (firefox.exe). Затем нажимаю кнопку «Открыть» в проводнике:
  
  Теперь мы автоматически вернёмся в предыдущее окно и увидим, что в поле «Имя» теперь появился путь к указанной нами программе. Отмечаем пункт «Использовать набор правил», после чего справа из списка готовых правил выбираем «Заблокированное приложение»:
  
  После того как все настройки в данном окне буду выставлены, нажимаем внизу кнопку «ОК» для их сохранения:
  
  В результате мы вернёмся в окно с набором правил для программ и в списке увидим вновь добавленную программу (в моём примере – Firefox) с правилом «Заблокированное приложение». Для того чтобы сразу проверить результат, нужно применить все изменения в правилах и нажать ещё раз кнопку «ОК» внизу:
  
  А это как раз то, что нам и нужно было для примера :) Соединения для Firefox заблокированы. Понятно, что Firefox, если серьёзно, блокировать конечно же не надо. Это был всего лишь пример :) Блокировать можно и нужно программы, которым не нужен выход в интернет или программы, которые являются недоверенными.
  
  Созданное правило удалить ещё проще. Нужно снова перейти в меню фаервола – «Правила для приложений» и, щёлкнув правой кнопкой мыши по нужному правилу, выбрать пункт «Убрать из списка»:
  
  В нашем же выбранном режиме «Безопасный режим», Comodo Firewall будет очень хорошо сам подбирать правила для приложений и нам редкий раз придётся самому копаться и настраивать правила. В принципе, на этом собственно и заканчиваются важные настройки фаервола от Comodo для новичков. Производить какие-либо настройки в остальных меню фаервола я не рекомендую, поскольку предназначены они уже для намного более опытных пользователей, разбирающихся в компьютерных сетях и имеющих более полные знания о работе с сетями в операционных системах.
  
  Тех настроек, что показал я, хватит вполне чтобы обезопасить компьютер от атак хакером и заблокировать выход в интернет недоверенным приложениям или тем, что мы сами выберем.
  
  Наверняка вы обратили внимание, что помимо раздела «Фаервол», в настройках есть и другие разделы, например: «Защита+», «Рейтинг файлов», «Общие настройки». Нужные настройки из перечисленных разделов я уже описывал в одной из своих предыдущих статей – «Ещё один хороший бесплатный антивирус – Comodo», поэтому, если необходимо, то вы можете почитать о них в той статье, перейдя по ссылке выше.
  
  И на этом последнюю из планируемых мной на данных момент статей, я завершаю.
  
  Comodo Firewall, как и любой другой фаервол, необходимо настроить в соответствии с пользовательскими задачами: отключить или подключить отдельные модули, выбрать оптимальный режим детектирования атак и сканирования файлов. Результатом этих действий будет комфортная работа на ПК, надёжно защищённом от внешних вероломных вторжений по сети.
  
  Нижеприведённая инструкция поможет быстро привести в боевую готовность Comodo Firewall: настроить основные опции и установить рекомендуемые режимы.
  
  Настроить виджет.
  1.Для удобства, иконку фаервола Comodo в трее рекомендуется настроить таким образом, чтобы она была всегда в поле зрения. Тогда для доступа к опциям не нужно будет проделывать лишние движения мышью.
  
  2.Далее можно приступить к настройке виджета, расположенного вверху рабочего стола справа. ПК мыши кликнуть по ярлыку COMODO Firewall в трее. В появившемся меню выбрать курсором <Виджет>, откроется меню настроек виджета. Изображение галочки напротив настройки будет указывать, что она включена. <Показать> - включает/отключает изображение виджета. Также можно настраивать отображение отдельных элементов виджета, названия которых расположены в нижней части меню (за чертой).
  
  Закрыть порты.
  1.Перейти в панель настроек фаервола: двойной клик ЛК по иконке.
  2.Открыть окно <Задачи>.
  3.Выбрать графу <Задачи фаервола>
  4.Кликнуть по опции <Скрыть порты>
  5.Выбрать режим работы:
  
  - <Блокировать входящие …..> - рекомендуемый. Компьютер закрыт от всех входящих сетевых запросов (на домашнем ПК они используются крайне редко), порты становятся невидимыми для других машин;
  
  - <Оповещать> - фаервол будет сообщать пользователю о внешних вторжениях, дополнительно, предоставляя возможность, действовать по ситуации: разрешить/запретить подключение.
  
  Настроить модули.
  1.Для настройки модулей (фаервол, песочница и проактивная защита) необходимо открыть панель управления и нажать кнопку <Подробная сводка>, она находится вверху слева.
  2.В открывшемся окне сводки наряду с мониторинговыми данными (количество вторжений, изолированных и неопознанных файлов) в верхней части находятся опции основных модулей.
  3.Каждая опция модуля содержит в свою очередь две кликабельные информационные строчки. Клик по названию модуля откроет меню его индивидуальных настроек, клик по типу режима – ниспадающее меню, предоставляющее возможность выбрать другой режим либо полностью отключить модуль.
  4.При выборе режима работы для проактивной защиты рекомендуется выбрать <Безопасный режим>, а для фаервола - <Пользовательский набор правил>. Такой вариант настройки обеспечивает наиболее эффективный контроль сетевых соединений и поведения файлов в ОС. Песочницу (Авто-Sandbox) без явной надобности лучше отключить. Также данные настройки можно осуществлять посредством контекстного меню.
  
  Читайте также: