Controle o regras avançadas do Firewall do Windows Faz toda a diferença entre um computador com proteção mínima e um sistema verdadeiramente seguro. Embora o console possa parecer um pouco intimidador à primeira vista, depois de entender como funciona a prioridade das regras, os perfis de rede e como criar exceções específicas para portas, aplicativos ou serviços, você realmente começa a controlar o tráfego que entra e sai do seu PC.
Neste artigo você encontrará um guia Muito detalhado e prático. Este guia explica como funciona o Firewall do Windows com segurança avançada, quais problemas comuns você pode encontrar, como as regras são processadas, quais tipos de configurações são recomendadas e como criar desde regras simples até regras complexas para ICMP, RPC, aplicativos, portas específicas e opções mais modernas, como tags de Controle de Aplicativos. O objetivo é ajudá-lo a passar da simples compreensão do conceito ao gerenciamento fácil do firewall.
Conceitos básicos do Firewall do Windows e seus perfis
O firewall integrado ao Windows é um firewall de filtragem de pacotes Ele se baseia na Plataforma de Filtragem do Windows (WFP). Pode analisar cada pacote com base em critérios como endereço IP, protocolo, porta, aplicativo ou serviço, e decidir se o permite ou o bloqueia de acordo com as regras configuradas.
Este firewall funciona sempre com tráfego bidirecional: conexões de entrada e saídaAs regras de entrada controlam o que entra no seu computador pela rede, enquanto as regras de saída controlam o que o seu computador envia. Entender a direção do tráfego é fundamental: se você quiser impedir que algo entre pela internet, você modifica uma regra de entrada; se você quiser impedir que um programa "saia para a rede", você o configura em uma regra de saída.
O Windows organiza regras e políticas em três categorias. perfis de redeque se aplicam dependendo do tipo de rede à qual você está conectado:
- DomínioPara computadores associados a um domínio do Active Directory.
- privadoProjetado para redes domésticas ou de trabalho consideradas confiáveis.
- Público: para Wi-Fi em cafés, aeroportos ou qualquer rede não confiável.
Por padrão, o firewall Ele bloqueia praticamente tudo que chega. Em todos os três perfis, permite tráfego de saída. Ou seja, uma política de entrada restritiva e uma política de saída permissiva. Você pode modificar esse comportamento global a partir do Propriedades do Firewall do Windows Defender (No console avançado), escolha para cada perfil se as conexões de entrada e saída são permitidas ou bloqueadas por padrão.
Como acessar o Firewall do Windows com segurança avançada
A parte mais poderosa do firewall é controlada a partir do console. “Firewall do Windows com segurança avançada”Você pode acessá-lo de diversas maneiras, dependendo se trabalha em uma única equipe ou em um ambiente de domínio:
Em um computador individual com Windows 10 ou Windows 11, basta abrir o Menu Iniciar e digitar wf.msc e pressione Enter. Você também pode acessar Painel de Controle > Sistema e Segurança > Firewall do Windows Defender e clicar em “Configurações avançadas” na lateral.
Em um ambiente de domínio, o ideal é usar o Política de Grupo (GPO)No editor de GPO, acesse Política do Computador > Configurações do Windows > Configurações de Segurança > Firewall do Windows com Segurança Avançada. Isso permitirá que você implemente regras e políticas centralizadas em todos os computadores abrangidos por esse GPO.
Na interface avançada, você verá as seções principais no painel esquerdo: Regras de entrada, Regras de SaídaRegras de segurança de conexão e o nó de monitoramento. A partir daí, praticamente todos os aspectos do firewall são controlados.
Precedência e ordem de avaliação das regras
Uma das partes menos intuitivas é como o firewall decide o quê A regra se aplica quando várias coincidem. com o mesmo tráfego. Nem todos serão "adicionados"; apenas um é usado. Conhecer a prioridade evita que você fique desesperado quando algo for bloqueado "sem motivo aparente".
Em um nível lógico, as regras são avaliadas de acordo com isto. prioridade de ação:
- Primeiro, regras que permitem "se for seguro" (IPsec) e também têm Invalidação de bloco ativado.
- Então, regras cuja ação é Bloquear.
- Por fim, regras que Eles permitem Trânsito sem condições especiais.
Além disso, entre regras com a mesma ação, um prioridade por especificidadeRegras mais específicas têm precedência sobre regras mais gerais. Por exemplo, uma regra que se aplica apenas a um endereço IP específico Ela tem precedência sobre outra que abranja uma ampla gama de opções, desde que não haja uma regra de bloqueio explícita em vigor.
Em cenários onde o firewall ordena internamente as regras sequencialmente, este padrão é seguido: primeiro as regras mais restritivas (por exemplo, aquelas que afetam computadores específicos, portas específicas ou aplicativos específicos) e, por fim, as menos restritivas. Eles permitem todo o tráfego. ou se aplicam a grandes intervalos. Uma vez que uma regra corresponde e determina uma ação, as regras subsequentes deixam de ser avaliadas.
Portanto, se você criar uma regra muito genérica que bloqueia tudo e tem precedência sobre outra regra que permite algo mais específico, Tudo será bloqueado.É essencial projetar o conjunto de políticas evitando sobreposições indesejadas, especialmente com regras de bloqueio explícitas.
Regras ativas, monitoramento e grupos predefinidos
O nó de Supervisão O console de segurança avançado exibe apenas as regras que estão ativas no momento. Isso significa que uma regra pode existir em "Regras de Entrada" ou "Regras de Saída", mas não ser visível no Monitoramento se estiver desativada ou se não estiver funcionando porque o comportamento padrão do perfil já permite esse tráfego.
Por exemplo, se a política de saída estiver definida como “Permitir” para um perfil, As regras para licença de saída não serão listadas. Não devem adicionar restrições extras. O mesmo se aplica a certas regras de entrada quando a política e o contexto já permitem o tráfego. Isso é normal; não significa que o console esteja com defeito.
Da fábrica, alguns grupos de regras Elas são habilitadas porque são consideradas necessárias na maioria dos ambientes. Entre elas estão:
- Regras de Redes principais para todos os perfis.
- Conjunto de regras de Assistência remota, com algumas regras válidas apenas para o domínio público e outras tanto para o privado.
- Regras de Descoberta de redemas apenas no perfil privado.
Além disso, a instalação de determinados recursos do Windows ou aplicativos de terceiros pode ativar automaticamente regras adicionais para que esses componentes funcionem sem intervenção manual do usuário.
Tipos de regras: programa, porta, predefinidas e personalizadas.
Ao criar uma nova regra (tanto de entrada quanto de saída), o assistente oferece quatro tipos básicos, que abrangem a maioria dos cenários:
Regras programa Eles estão associados a um arquivo executável específico. Permitem ou bloqueiam todo o tráfego de um aplicativo sem que você precise se preocupar com as portas que ele utiliza. Basta selecionar o arquivo .exe, decidir se deseja permitir ou bloquear o tráfego e especificar a quais perfis ele se aplica. Isso é muito útil para impedir que programas se conectem à internet ou para limitar seu uso em redes públicas.
Regras Puerto Eles filtram por protocolo (geralmente TCP ou UDP) e uma ou mais portas, podendo incluir intervalos (por exemplo, “5000-5100”) ou listas combinadas (“21,22,80,443”). Podem ser usados para fechar uma porta específica (como a 21/TCP) no tráfego de entrada ou impedir que um serviço use determinadas portas no tráfego de saída, ou ainda para abri-las somente quando necessário.
As regras Predefinido Esses são modelos que vêm com o próprio Windows para serviços internos (como Área de Trabalho Remota, Compartilhamento de Arquivos e Impressoras, etc.). Você seleciona o conjunto predefinido, escolhe se deseja permitir ou bloquear e em quais perfis, e o sistema se encarrega de detalhar todas as portas e serviços envolvidos.
As regras Personalizado Essas são as mais flexíveis e permitem combinar tudo: programa ou serviço, tipo de protocolo (incluindo ICMPv4, ICMPv6, GRE, IPv6-Route, etc.), portas locais e remotas, endereços IP locais e remotos, escopos de aplicação, condições de segurança (IPsec) e perfis. Elas são usadas para cenários de granularidade fina, por exemplo: permitir que um serviço específico escute apenas em um intervalo de IP limitado dentro de uma sub-rede restrita e em portas RPC dinâmicas.
Regras de aplicação e controle de saída
Ao instalar um aplicativo que escuta na rede, é comum que o próprio aplicativo... O instalador registra uma regra de firewall. para que tudo funcione sem exigir muito do usuário. Caso contrário, o usuário ou o administrador terão que... crie-o manualmente.
O problema surge quando você confia que o firewall resolverá tudo sozinho. O Firewall do Windows padrão é bastante... permissivo no tráfego de saídaEle permite quase tudo que não esteja explicitamente bloqueado. Além disso, não costuma exibir janelas pop-up sempre que um programa tenta se conectar, como acontece com muitos firewalls de terceiros.
Se você estiver preocupado com quais aplicativos podem acessar a internet, pode alterar a política de saída para "Bloquear" e configurar um lista branca abrangenteNo entanto, essa solução foi projetada para ambientes altamente controlados (por exemplo, empresas de alta segurança). Ela envolve manter um inventário de aplicativos, saber quais deles exigem conectividade e criar uma regra para cada um, geralmente distribuída via GPO ou CSP.
Além disso, existe um comportamento pouco conhecido: ao tentar criar uma regra automaticamente em tempo de execução (por exemplo, quando uma notificação aparece solicitando permissão para um aplicativo), o resultado pode variar dependendo da função e das ações do usuário. Um usuário com privilégios elevados pode, inadvertidamente, descartar a notificação, fazendo com que novas regras sejam criadas. regras de bloqueioCaso os privilégios sejam insuficientes ou as notificações estejam desativadas, as regras de permissão não serão geradas e o tráfego permanecerá bloqueado pela política padrão.
Tags de Controle de Aplicativos e PolicyAppId em regras de firewall
Em ambientes empresariais modernos, o Firewall do Windows pode ser integrado com Controle de aplicativos Utilizar tags de aplicativos (AppIDs) em vez de caminhos executáveis. Isso permite associar regras a grupos de processos marcados, sem depender de o executável estar sempre na mesma pasta.
A operação é baseada em duas etapas. Primeiro, um Política de rotulagem do App Control que aplica uma tag PolicyAppId aos tokens de processo de determinados aplicativos ou grupos de aplicativos. Essa tag é então usada como um escopo nas regras do firewall.
Então, o regras de firewall que fazem referência ao PolicyAppId Existem duas maneiras principais: usando o nó PolicyAppId do CSP do firewall de uma solução MDM como o Microsoft Intune (especificando o identificador no campo ID do Aplicativo de Política) ou criando regras locais usando o PowerShell com o cmdlet New-NetFirewallRule, especificando o parâmetro -PolicyAppId com o rótulo correspondente.
Essa abordagem melhora a segurança porque evite depender de rotas absolutas e permite agrupar aplicativos sob a mesma política, reduzindo a necessidade de manutenção quando versões ou locais mudam.
Combinação de políticas locais e de domínio
Em ambientes gerenciados, é vital controlar como as coisas são feitas. As regras locais estão confusas. que um administrador de equipe pode criar usando regras centralizadas distribuídas via GPO ou CSP. Isso é possível através da configuração de política de mesclagem de regras (AllowLocalPolicyMerge) por perfil.
Utilizando os caminhos do CSP do MDM (por exemplo, ./Vendor/MSFT/Firewall/MdmStore/DomainProfile/AllowLocalPolicyMerge) ou a partir do GPO "Firewall do Windows Defender com segurança avançada", você pode decidir se o firewall aceita ou ignora regras criadas localmente, além daquelas definidas pela política central.
Em ambientes de alta seguranca O encaminhamento de portas locais geralmente é desativado para impedir que usuários e aplicativos adicionem exceções dinamicamente, abrindo portas sem controle. No entanto, essa medida pode prejudicar aplicativos ou serviços que, durante a instalação, tentam criar suas próprias regras de portas locais.
Portanto, é crucial manter um inventário de aplicativos Essas configurações exigem exceções, incluindo quais portas e protocolos elas utilizam e a partir de quais redes devem ser acessíveis. Se isso não estiver devidamente documentado, você poderá encontrar falhas intermitentes difíceis de diagnosticar.
Recomendações para o design de regras de firewall
Ao elaborar um conjunto consistente de regras, há uma série de boas práticas que devem ser seguidas para evitar a criação de um "coquetel explosivo" de exceções:
Sempre que possível, saia do configurações padrão O bloqueio padrão de conexões de entrada do Firewall do Windows é uma medida básica de segurança e só deve ser relaxado em circunstâncias muito justificadas.
Ao habilitar um serviço que precisa escutar na rede, crie regras em todos os três perfisMas ative apenas as necessárias. Por exemplo, se um aplicativo for usado somente em redes privadas, você pode ter a definição preparada para o domínio, para a rede privada e para a rede pública, mas habilitar o grupo de regras apenas para o perfil privado.
Ajusta a endereços remotos de acordo com o perfil e mapear a topologia da LAN Quando necessário. Um serviço destinado apenas à rede local (doméstica ou de pequenas empresas) deve ser restrito à sub-rede local em perfis privados e públicos, enquanto no perfil de domínio geralmente é menos restritivo dentro da rede corporativa. Não aplique essas restrições a aplicativos que precisam de acesso global à internet.
Ao criar regras de entrada, seja o mais cuidadoso possível. específico que você podeNo entanto, evite gerenciar portas individualmente quando isso não agrega valor. Às vezes, é melhor definir intervalos contíguos para evitar que o firewall tenha que gerenciar um grande volume de filtros, o que poderia afetar o desempenho.
Documente cada regra minuciosamente: qual aplicação ela afeta, quais portas, quais perfis e, acima de tudo, Para que foi criado? E em que data? Essa informação é valiosíssima quando, meses depois, você precisar revisar ou aprimorar a política.
Considerações específicas sobre as regras de saída
Na maioria das instalações domésticas e em muitas empresas, é comum que... política de saída Use a opção "Permitir" e crie regras específicas para bloquear apenas itens muito particulares. Isso simplifica bastante a implantação do aplicativo.
No entanto, em ambientes onde a segurança tem prioridade sobre a conveniência, pode valer a pena configurar o firewall de forma que Bloquear todas as saídas por padrãoNesse caso, cada aplicativo que precisar se conectar deverá ter sua própria regra de permissão.
Para que este modelo funcione sem se tornar um pesadelo, é essencial manter um inventário atualizado de software, observando quais deles possuem conectividade de rede e de que tipo. A partir daí, os administradores criam e distribuem regras centralizadas, geralmente bloqueando tudo o que não estiver na lista de permissões.
Serviços essenciais para o funcionamento do firewall
O componente Firewall do Windows com segurança avançada depende de vários serviços de sistemaSe algum destes componentes não estiver em execução, o firewall pode apresentar comportamento errático ou simplesmente não funcionar:
- Mecanismo de filtragem de base.
- Cliente de apólice de grupo.
- Módulos de criação de chaves IPsec para IKE e AuthIP.
- Assistente de IP.
- Agente de política IPsec.
- Reconhecimento de localização em rede.
- Serviço de lista de rede.
- Firewall do Windows.
Se você estiver enfrentando problemas incomuns com o firewall (regras não sendo aplicadas, políticas não sendo baixadas de GPOs, etc.), é recomendável verificar o Gerente de serviço que todos esses serviços estejam em execução e com o tipo de inicialização correto.
Auditoria, registros e coleta de dados
Para depurar problemas complexos, é muito útil ativar o auditoria de segurança relacionado ao firewall e IPsec, e configurar um arquivo de log que deixe um registro das conexões permitidas e bloqueadas.
A ferramenta de linha de comando auditpol.exe Isso permite ativar ou desativar categorias e subcategorias de eventos de auditoria. Por exemplo, você pode listar as categorias com:
auditpol.exe /list /category
E visualize as subcategorias de uma categoria específica (como Mudança de Política) com:
auditpol.exe /list /category:»Alteração de Política»
Para ativar uma categoria e subcategoria, utilize:
auditpol.exe /set /category:»NomeDaCategoria» /SubCategoria:»NomeDaSubcategoria»
Com relação ao arquivo de log do firewall, você pode abri-lo a partir do console avançado. Propriedades do firewall Em seguida, em cada aba de perfil (domínio, privado, público), clique em “Personalizar” na seção de registro. Lá, você define o caminho e o nome do arquivo, o tamanho máximo (entre 1 e 32767 KB) e se deseja registrar pacotes descartados, conexões bem-sucedidas ou ambos.
Para uma análise mais aprofundada, e audite sua rede localTambém é uma boa ideia gerar estatísticas de rede e listas de processos: comandos como “netstat -ano > netstat.txt” e “tasklist /svc > tasklist.txt” permitem comparar portas abertas, PIDs e serviços instalados, ajudando a identificar qual processo está por trás de um determinado tráfego.
Em ambientes corporativos, a Microsoft oferece scripts de suporte, como... TSS.ps1 (Cenário NET_WFP) que coleta rastreamentos avançados da plataforma de filtragem, compactando-os em um arquivo ZIP em C:\MS_DATA, pronto para ser enviado ao suporte.
Em geral, compreender e aproveitar o regras avançadas do Firewall do Windows Isso permite ir muito além de simplesmente "ligar ou desligar o firewall". Combinando um design de regras cuidadoso, o uso criterioso de perfis, uma política clara sobre a combinação de diretivas e um bom sistema de auditoria e registro, você pode ter um controle preciso sobre o tráfego de rede sem sacrificar a usabilidade do equipamento.
