Касперский настройка сетевого экрана

Обновлено: 07.07.2024

Являясь параноиком (в хорошем смысле этого слова) в области компьютерной безопасности, я большое внимание уделяю настройке сетевого экрана, без которого в Интернет лучше не ходить. Уже многие годы я пользуюсь корпоративными продуктами АО «Лаборатория Касперского», которые считаю лучшими на рынке антивирусного программного обеспечения. На Windows XP ранее использовал Kaspersky Anti-Virus 6.0 for Windows Workstations (KAV WKS 6.0.3.837), а на Windows 10 установил Kaspersky Endpoint Security 11 (KES 11.1.1.126), о сетевом экране которого и пойдёт речь.

Первая линия защиты: Яндекс.DNS

Первая линия защиты, которую нужно обязательно использовать, — безопасные публичные DNS-серверы. Отличное решение, обеспечивающее защиту компьютера от ботов и опасных сайтов (в режиме «Безопасный» — IP 77.88.8.2, 77.88.8.88), а также материалов для взрослых и прочего виртуального шлака (в режиме «Семейный» — IP 77.88.8.3, 77.88.8.7), — Яндекс.DNS . Бесплатный рекурсивный DNS-сервис ограждает компьютер от ботнетов, заражённых и мошеннических сайтов, в чём я не раз убеждался.

Вторая линия защиты: Kaspersky Endpoint Security 11

В сетевом экране Kaspersky Endpoint Security (как и Kaspersky Internet Security) используются пакетные правила и правила программ. Первые имеют преимущество над вторыми. В настройках по умолчанию уже установлены пакетные правила (для домохозяек), которые можно отключить или удалить (предварительно сохранив резервную копию), поскольку они не обеспечивают желаемый уровень защиты. Логика максимальной защиты KES 11 заключается в том, что и в правилах программ (для всех групп доверия), и в пакетных правилах запрещается любая сетевая активность (за исключением программ, которым будут разрешены инициированные ими исходящие потоки на заданные порты).

Сетевые пакетные правила

Ниже представлены настройки, которые я использую (это неполный список):

В первую очередь я запретил исходящую активность в доверенные и локальные сети, которых у меня нет. Почему только исходящую? Если запретить в пакетных правилах любую сетевую активность, то в правилах программ автоматически удалятся правила по умолчанию для доверенной, локальной и публичной сетей (изначально разрешающие любую сетевую активность в группах «Доверенные» и «Слабые ограничения»). Ничего критичного в этом нет, но у всех программ не будет никаких правил, а выход в сеть им будет запрещён.

Третье правило разрешает подключения к DHCP-серверу для назначения компьютеру IP-адреса (с локального порта UDP 68 на удалённый порт UDP 67). Сейчас я использую Интернет 3G, и данное правило у меня отключено.

Далее следуют правила для избранных программ, разрешающие инициированные ими исходящие потоки с локальных портов 49152-65535 (диапазон динамических портов Windows 10 ), которые обязательно указывайте (тем самым будут закрыты локальные порты 1-49151):

DNS-серверы — удалённый порт TCP/UDP 53, локальные порты TCP/UDP 49152-65535, удалённые IP-адреса 77.88.8.2, 77.88.8.88;
FTP-клиент WinSCP — удалённые порты TCP 21, 1024-6659, 7001-65535 (порты 6660-7000 используются для исходящей IRC-активности, которую нужно запретить), локальные порты TCP 49152-65535, удалённый IP-адрес хостинг-провайдера;
SSH-клиент WinSCP — удалённый порт TCP 22, локальные порты TCP 49152-65535, удалённый IP-адрес хостинг-провайдера;
браузеры — удалённые порты TCP 80, 443 (если используются порты PROXY и SOCKS, их нужно добавить), локальные порты TCP 49152-65535;
почтовый клиент The Bat! — удалённые порты TCP 465, 995 (для защищённых подключений), локальные порты TCP 49152-65535.
последнее правило запрещает любую исходящую сетевую активность, блокируя все неиспользуемые протоколы и порты.

Сетевые правила программ

В правилах программ для групп «Доверенные» и «Слабые ограничения» я изменил настройки, разрешавшие любую сетевую активность в доверенной, локальной и публичной сетях (запретив её). И дополнительно добавил запрет на исходящие потоки, включив запись в отчёты (чтобы отслеживать программы, которые без ведома пользователя лезут в Интернет):

Таким образом, подключиться к публичной сети (Интернет) могут только программы, в настройках которых заданы перечисленные на снимке № 1 разрешающие правила:

Порты TCP и UDP

Ниже представлена таблица портов TCP и UDP, которые нужно открыть для работы некоторых программ. Каждая из них (за исключением клиента FTP/SSH, который подключается к IP-адресу хостинг-провайдера напрямую) требует также разрешения на исходящие DNS-запросы (служба DNS отключена за ненадобностью, так как любая программа может выполнять DNS-запрос).

Запрещается републикация статьи без указания активной прямой ссылки на источник.
За помощью в решении различных задач по программированию на языках PHP, JavaScript (включая jQuery) обращайтесь через раздел «Контакты» .

Сетевой экран блокирует несанкционированные подключения к компьютеру во время работы в интернете или локальной сети. Также Сетевой экран контролирует сетевую активность программ на компьютере. Это позволяет защитить локальную сеть организации от кражи персональных данных и других атак. Компонент обеспечивает защиту компьютера с помощью антивирусных баз, облачной службы Kaspersky Security Network и предустановленных сетевых правил.

Вы можете настроить сетевые правила на следующих уровнях:

Сетевые пакетные правила. Используются для ввода ограничений на сетевые пакеты независимо от программы. Такие правила ограничивают входящую и исходящую сетевую активность по определенным портам выбранного протокола передачи данных. Kaspersky Endpoint Security имеет предустановленные сетевые пакетные правила с разрешениями, рекомендованными специалистами "Лаборатории Касперского".
Сетевые правила программ. Используются для ограничения сетевой активности конкретной программы. Учитываются не только характеристики сетевого пакета, но и конкретная программа, которой адресован этот сетевой пакет, либо которая инициировала отправку этого сетевого пакета.

Контроль доступа программ к ресурсам операционной системы, процессам и персональным данным обеспечивает компонент Предотвращение вторжений с помощью прав программ.

Во время первого запуска программы Сетевой экран выполняет следующие действия:

Проверяет безопасность программы с помощью загруженных антивирусных баз.
Проверяет безопасность программы в Kaspersky Security Network.

Для более эффективной работы Сетевого экрана вам рекомендуется принять участие в Kaspersky Security Network.

Группа доверия определяет права, которые Kaspersky Endpoint Security использует для контроля сетевой активности программ. Kaspersky Endpoint Security помещает программу в группу доверия в зависимости от уровня опасности, которую эта программа может представлять для компьютера.

Kaspersky Endpoint Security помещает программу в группу доверия для компонентов Сетевой экран и Предотвращение вторжений. Изменить группу доверия только для Сетевого экрана или только для Предотвращения вторжений невозможно.

Если вы отказались принимать участие в KSN или отсутствует сеть, Kaspersky Endpoint Security помещает программу в группу доверия в зависимости от параметров компонента Предотвращение вторжений. После получения данных о репутации программы от KSN группа доверия может быть изменена автоматически.

При следующем запуске программы Kaspersky Endpoint Security проверяет целостность программы. Если программа не была изменена, компонент применяет к ней текущие сетевые правила. Если программа была изменена, Kaspersky Endpoint Security исследует программу как при первом запуске.

Приоритеты сетевых правил

Каждое правило имеет приоритет. Чем выше правило в списке, тем выше его приоритет. Если сетевая активность добавлена в несколько правил, Сетевой экран регулирует сетевую активность по правилу с высшим приоритетом.

Сетевые пакетные правила имеют более высокий приоритет, чем сетевые правила программ. Если для одного и того же вида сетевой активности заданы и сетевые пакетные правила, и сетевые правила программ, то эта сетевая активность обрабатывается по сетевым пакетным правилам.

Сетевые правила программ имеют особенность. Сетевые правило программ включает в себя правила доступа по статусу сети: публичная, локальная, доверенная. Например, для группы доверия "Сильные ограничения" по умолчанию запрещена любая сетевая активность программы в сетях всех статусов. Если для отдельной программы (родительская программа) задано сетевое правило, то дочерние процессы других программ будут выполнены в соответствии с сетевым правилом родительской программы. Если сетевое правило для программы отсутствует, дочерние процессы будут выполнены в соответствии с правилом доступа к сетям группы доверия.

Например, вы запретили любую сетевую активность всех программ для сетей всех статусов, кроме браузера X. Если в браузере X (родительская программа) запустить установку браузера Y (дочерний процесс), то установщик браузера Y получит доступ к сети и загрузит необходимые файлы. После установки браузеру Y будут запрещены любые сетевые соединения в соответствии с параметрами Сетевого экрана. Чтобы запретить установщику браузера Y сетевую активность в качестве дочернего процесса, необходимо добавить сетевое правило для установщика браузера Y.

Статусы сетевых соединений

Сетевой экран позволяет контролировать сетевую активность в зависимости от статуса сетевого соединения. Kaspersky Endpoint Security получает статус сетевого соединения от операционной системы компьютера. Статус сетевого соединения в операционной системе задает пользователь при настройке подключения. Вы можете изменить статус сетевого соединения в параметрах Kaspersky Endpoint Security. Сетевой экран будет контролировать сетевую активность в зависимости от статуса сети в параметрах Kaspersky Endpoint Security, а не операционной системы.

Выделены следующие статусы сетевого соединения:

Сетевой экран по умолчанию присваивает статус Публичная сеть сети Интернет. Вы не можете изменить статус сети Интернет.

Параметры компонента Сетевой экран

Сетевые пакетные правила

Таблица сетевых пакетных правил. Сетевые пакетные правила используются для ввода ограничений на сетевые пакеты независимо от программы. Такие правила ограничивают входящую и исходящую сетевую активность по определенным портам выбранного протокола передачи данных.

В таблице представлены предустановленные сетевые пакетные правила, которые рекомендованы специалистами "Лаборатории Касперского" для оптимальной защиты сетевого трафика компьютеров под управлением операционных систем Microsoft Windows.

Сетевой экран устанавливает приоритет выполнения для каждого сетевого пакетного правила. Сетевой экран обрабатывает сетевые пакетные правила в порядке их расположения в списке сетевых пакетных правил, сверху вниз. Сетевой экран находит первое по порядку подходящее для сетевого соединения сетевое пакетное правило и выполняет его действие: либо разрешает, либо блокирует сетевую активность. Далее Сетевой экран игнорирует все последующие сетевые пакетные правила для данного сетевого соединения.

Сетевые пакетные правила имеют приоритет над сетевыми правилами программ.

Таблица, содержащая информацию о сетевых соединениях, которые Сетевой экран обнаружил на компьютере пользователя.

Сети Интернет по умолчанию присвоен статус Публичная сеть. Вы не можете изменить статус сети Интернет.

Таблица программ, работу которых контролирует компонент Сетевой экран. Программы распределены по группам доверия. Группа доверия определяет права, которые Kaspersky Endpoint Security использует для контроля сетевой активности программ.

Вы можете выбрать программу из единого списка всех программ, установленных на компьютерах под действием политики, и добавить программу в группу доверия.

Таблица сетевых правил программ, входящих в группу доверия. В соответствии с этими правилами Сетевой экран регулирует сетевую активность для программ.

В таблице отображаются предустановленные сетевые правила, которые рекомендованы специалистами "Лаборатории Касперского". Эти сетевые правила добавлены для оптимальной защиты сетевого трафика компьютеров под управлением операционных систем Windows. Удалить предустановленные сетевые правила невозможно.

Первый шаг к безопасному путешествию по бескрайним просторам всевозможных сетей это конечно же установка надежного средства защиты. Одним из немногих таких средств является комплексный продукт Kaspersky Internet Security. Несмотря на то, что KIS продукт достаточно сложный, он сразу после установки готов выполнять все возложенные на него обязанности. Необходимость в дополнительных настойках возникает крайне редко, и это очень большой плюс разработчикам. Но необходимо понимать, что эта возможность базируется на острой грани компромиссных решений. В чем они заключаются рассмотрим на примере сетевого экрана.

Настройки сетевого экрана состоят из двух частей: правила для программ и пакетные правила. При помощи правил программ можно разрешать или запрещать определенным программам или группам программ посылать или принимать пакеты или устанавливать сетевые соединения. При помощи пакетных правил разрешается или запрещается устанавливать входящие или исходящие соединения, и передача или прием пакетов.

Посмотрим, что представляют собой правила для программ.

Все программы имеется четыре категории:

Доверенные – им разрешено все без исключения.
Слабые ограничения – установлено правило “запрос действия”, позволяющее пользователю по самостоятельно принимать решение о целесообразности сетевого общения программ этой группы.
Сильные ограничения – в части разрешения работы с сетью, то же, что и слабые.
Не доверенные – по умолчанию этим программам запрещено любое сетевое общение (по человечески очень жаль их).

В группу “доверенные” по умолчанию помещены все программы от Микрософт, собственно сам KIS и другие программы известных производителей. Для настроек по умолчанию выбор хороший, но лично я не стал бы всем программам, пусть даже и именитых производителей, так безраздельно доверять.

Как же попадают программы в ту или иную группу? Здесь все не так просто. Решение о помещении конкретной программы в одну из четырех групп принимается на основе нескольких критериев:

Наличие сведений о программе в KSN (Kaspersky Security Network).
Наличие у программы цифровой подписи (уже проходили).
Эвристический анализ для неизвестных программ (что то типа гадания).
Автоматически помещать программу в заранее выбранную пользователем группу.

Все эти опции находится в настройках “Контроль программ”. По умолчанию установлены первые три опции, использование которых и приводит к большому количеству “доверенных” программ. Четвертую опцию можно выбрать самостоятельно как альтернативу первым трем.

Проведем эксперимент. Поместим какую либо программу (например, браузер “Opera”) в список программ со слабыми ограничениями и посмотрим как работает правило “запрос действия”. Для вступления правил программ в действие нужно закрыть и снова открыть программу, правила для которой были изменены. Если теперь попробовать зайти на любой сайт, то никакого запроса действия не произойдет, а программа спокойно установит сетевое соединение. Как оказалось, правило “запрос действия” работает только если в основных параметрах защиты снят флажок с опции “Выбирать действие автоматически”.

Еще один сюрприз ожидает пользователей сетевых утилит типа ping, tracert (если правило “запрос действия” распространить на доверенные программы), putty (ssh клиент) и, возможно, им подобных. Для них KIS упорно не хочет выводить экран запроса действия. Здесь выход может быть только один – устанавливать разрешения для конкретной программы вручную.

Прежде, чем перейти к пакетным правилам, позволю себе один совет: создавайте для каждой группы программ свои подгруппы. Например: “Сетевые утилиты”, “Офисные программы”, “Программы для Интернета”, и т.д. Во первых, всегда можно будет быстро найти нужную программу, и, во вторых, можно будет устанавливать правила на определенные группы, вместо установки правил для отдельных программ.

В пакетных правилах определяются отдельные признаки пакетов: протокол, направление, локальный или удаленный порт, сетевой адрес. Пакетные правила могут действовать как “разрешающие”, “запрещающие” и “по правилам программ”. Правила просматриваются сверху вниз пока не будет найдено разрешающее или запрещающее правило по совокупности признаков. Если правило для пакета не найдено, то применяется правило по умолчанию (последнее). Обычно в сетевых экранах последним правилом устанавливают запрет на прием и передачу любых пакетов, но для KIS это правило разрешающее.

Область действия правил охватывает определенную область: “любой адрес” (все адреса), “адрес подсети” – здесь можно выбрать тип подсети “доверенные”, “локальные” или “публичные”, и “адреса из списка” – указать IP адреса или доменные имена вручную. Отношение конкретной подсети к “доверенной”, “локальной” или “публичной” устанавливается в общих нстройках сетевого экрана.

Пакетные правила KIS, в отличие от большинства сетевых экранов, перегружены большим числом направлений: “входящее”, “входящее (поток)”, “исходящее”, “исходящее (поток)”, и “входящее/исходящее”. Причем, правила с некоторыми сочетаниями протокола и направления не работают. Например, правило запрета ICMP в сочетании с потоковыми направлениями работать не будет, т.е. запрещенные пакеты будут проходить. К UDP пакетам почему то применяются потоковые направления, хотя UDP протокол по своей природе как такового “потока” не создает, в отличии от TCP.

Еще один, не совсем приятный момент заключается в том, что в пакетных правилах отсутствует возможность указать реакцию на запрет входящего пакета: запретить прием пакета с уведомлением отправившей его стороны или просто отбросить пакет. Это так называемый режим “невидимости”, который раньше в сетевом экране присутствовал.

Теперь обратимся к собственно правилам.

1 и 2 правила разрешают по правилам программ отправлять DNS запросы по протоколам TCP и UDP. Безусловно, оба правила полезны, но в основном такие сетевые программы как почтовые и браузеры запрашивают адреса сайтов через системную службу DNS, за работу которой отвечает системная программа “svchost.exe”. В свою очередь, сама служба использует вполне конкретные адреса DNS серверов, указываемые вручную или через DHCP. Адреса DNS серверов меняются редко, так что вполне хватило бы разрешения отправки DNS запросов для системной службы “svchost.exe” на фиксированные сервера доменных имен.

3 правило разрешает программам отправку электронной почты по протоколу TCP. Здесь также, как и для первых двух правил, достаточно было бы создать правило для конкретной программы работы с электронной почтой указав на какой порт и сервер производить отправку.

4 правило разрешает любую сетевую активность для доверенных сетей. Будьте очень внимательны при включении этого правила, не перепутайте случайно тип сети. Это правило фактически отключает функции сетевого экрана в доверенных сетях.

5 правило разрешает любую сетевую активность по правилам программ для локальных сетей. Это правило хоть и не отключает полностью сетевой экран, но в значительной степени ослабляет его контрольные функции. По логике 4 и 5 правила нужно было бы разместить в самом верху, чтобы предотвратить обработку пакетов правилами 1 – 3 при нахождении компьютера в доверенной или локальной сети.

6 правило запрещает удаленное управление компьютером по протоколу RDP. Хотя область действия правила “все адреса”, но фактически оно действует только в “публичных сетях”.

7 и 8 правило запрещает доступ из сети к сетевым службам компьютера по протоколам TCP и UDP. Фактически правило действует только в “публичных сетях”.

9 и 10 правила разрешают всем без исключения подключаться к компьютеру из любых сетей, конечно исключая службы, запрещенные правилами 6 – 8. Действует правило только для программ с разрешенной сетевой активностью. Но будьте очень внимательны, сетевая активность по умолчанию разрешена практически всем программам за исключением не доверенных.

11 – 13 правила разрешают прием входящих ICMP пакетов для всех программ. Смысла в этих правилах не больше, чем в 1 – 3, потому, что ICMP в подавляющем большинстве случаев использует программа ping и tracert.

14 правилом запрещается прием всех типов ICMP пакетов, разумеется за исключением разрешенных правилами 11 – 13.

16 правило запрещает входящий ICMP v6 эхо запрос. ICMP v6 в подавляющем большинстве случаев не нужен. Можно было бы запретить его полностью.

17 правило разрешает все, что явно не разрешено или запрещено предыдущими правилами. Это правило хотя и не отображается на экране, но помнить о его существовании безусловно необходимо.

Настройки сетевого экрана KIS по умолчанию безусловно хороши и подходят большинству пользователей домашних компьютеров, на которых, собственно, и ориентирован этот продукт. Но гибкость и нетребовательность к дополнительным настройкам, о которой упоминалось в начале статьи, к сожалению достигается за счет безопасности самих же пользователей, делая эту самую безопасность очень сильно зависимой от человеческого фактора: знаний и безошибочных действий самого пользователя.

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Похожий контент

Я бы понял, если работники Касперского добросовестно исполняли свои обязанности.

Но я уже чуть ли не месяц не могу получить внятного ответа на простой вопрос:
Какой функционал межсетевого экрана остаётся работать в системе (и влиять на работу сканера) после разрешения трафика по всем поратм, всем направлениям, всем протоколам?
Потому что после такого разрешения все равно сохраняются задержки 30-40 секунд начала сканирования по домашней сети, а псле снятия галочки "межсетевой экран включен" такие задержки полностью пропадают.

Добрый день.
Появилась задача, которую пока не понятно как решить.
Дано:
Ноутбук имеющий подключение к сети Интернет с установленным KES 11.5 (не имеющий подключения к KSC).
Задача:
Запретить доступ в интернет любому трафику от любого ПО, за исключением доступа к серверам обновлений ЛК и MS.

Моё решение (частичное):
- в сетевом экране запретил всю сетевую активность;
- создал в сетевом экране разрешающее правило до серверов обновления ЛК. по именам серверов из списка от сюда. Имена автоматом преобразовались в IP адреса и всё путём.

Эта часть работает без вопросов.

Собственно вопрос: какие адреса прописать в сетевом экране, что бы на компьютере начали обновляться Windows и Office?

Что пробовал: поставил NetLimiter и выловил IP адреса на которые обращается служба Обновление Windows, прописал их и . всё работает, но только при подключении в конкретной точке. Стоит подключиться к другому провайдеру и всё. проверка обновлений вываливается в ошибку - проверьте сетевое подключение и т.п. Вариант не подходит, так как ноутбук "катается" и может быть подключен к любой доступной сети

Есть обсуждение на Technet и тут, но тамошнее решение - разрешить сетевой трафик по маскам 64.0.0.0/8, 65.0.0.0/8 не годится. да и не работает оно.

Может кто-то уже сделал такое и знает ответ на этот вопрос?

Заранее спасибо за помощь.

1. Настройки/Защита/Сетевой экран/Настроить пакетные правила
Открывается пустое окно без правил, по нажатию кнопки "Добавить" ничего не происходит

2. Больше функций/Управление программами/Контроль программ/Показать всю активность
Работающие - всё норм, отображается
Все программы - Произошла ошибка при обработке данных. Данные недоступны
Запускаемые при старте - Произошла ошибка при обработке данных. Данные недоступны

Там же в "Работающие" смотрим "Правила программы" любой проги, допустим, Windows Explorer. Смотрим "История" - пустое окно, истории нет. Даже если перед этим переместить прогу в какую-либо группу Доверенные/Недоверенные.
Если поместил прогу в любую группу, потом кликаешь по ней правой кнопкой и выбираешь "Сбросить настройки" - они не сбрасываются, прога остаётся в той же группе.

В общем, кажется мне, засел какой-то малварь у меня в системе. Помогите, что делать?

Доброго времени суток. Столкнусь с проблемой, попытаюсь её объяснить -

Имеется kes11, стоит на всех ПК фирмы.
Имеется сервер "N" , на нём также установлен kes11. Этот сервер служит для хранения сотрудниками файлов, документов итд. Ещё на сервере "N" стоит сетевая лицензия программы solid edge.
Имеется удалённый офис в другом городе, работающий через впн.

Суть проблемы такова - когда на сервере N включен сетевой экран в kes, удаленный офис не видит и не может подключиться к нему. Но в тот же момент, если сетевой экран выключен, то в главном офисе, люди работающие в Solid теряют свои лицензии. Включаем обратно сетевой экран - Solid снова видит сетевую лицензию, а удаленный офис снова не видит сервер "N".

В чём может быть проблема и как её можно решить, заранее благодарен за помощь.

Нередко случается, что антивирус касперского, который должен обеспечивать безопасность локальной сети, наоборот всячески мешает доступу к сетевым ресурсам.

Поэтому здесь мы разберем, что делать, если касперский блокирует локальную сеть, и какие настройки необходимы, если доступ к компьютеру ограничен.

Прежде чем приступать к диагностике проблемы, убедитесь, что

Что делать, если касперский блокирует локальную сеть?

Для проверки следует временно отключить защиту. Для этого правой кнопкой мыши кликните по значку антивируса в системном трее и выберите пункт «приостановить защиту».

Необходимо сразу запомнить название сети и проверить её настройки.

Также рекомендуется отключить DHCP на сетевом оборудовании. Теперь потребуется перезагрузить компьютер. Если всё ОК включите защиту касперского обратно.

Настройка касперского для локальной сети:

Читайте еще: Как подключить два компьютера к интернету через один кабель

Здесь есть на выбор четыре группы: доверенные, слабые ограничения, сильные ограничения и недоверенные. С помощью правой кнопки мыши выберите подходящий приоритет для работы программ, после чего добавьте новые группы и программы. Для этого выберите:

подробности и правила
сетевые правила
ограничения
сбросить параметры
удалить из списка
открыть папку программы

Читайте также: