Локальный firewall на рабочей станции: как включить и проверить покрытие

Включите межсетевой экран на каждой рабочей станции и раз в месяц сверьте покрытие с реестром: входящие по умолчанию запрещены, исключения явные. Настройка nftables на сервере — другой текст: nftables и firewalld. Одна галочка в hardening Windows не считает парк: hardening Windows. Долю «агент стоит» не путайте с этим экраном: метрика покрытия.

Статья опирается на логику направления «Безопасность конечных устройств» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. CIS Control 4 требует безопасную конфигурацию конечных устройств, в том числе фильтр на узле: cisecurity.org/controls. Это не российский закон. Команды — на своих станциях.

Windows: что должно быть включено

На станции, PowerShell. Документация: Get-NetFirewallProfile.

Get-NetFirewallProfile -PolicyStore ActiveStore | Select-Object Name, Enabled, DefaultInboundAction

Ожидаемо: для Domain, Private и Public поле Enabled равно True, DefaultInboundAction — Block. Если выключено — возвращайте политикой, не ручным кликом на каждой машине: GPO и Ansible. Риск: резкий Block без исключения для вашей оснастки отрежет удалённое управление. Сначала пилотная OU, консоль или hop в сегменте управления.

Linux: статус, не второй учебник nftables

На Ubuntu-станции:

sudo ufw status verbose

Ожидаемо: Status: active, Incoming: deny. На станции с firewalld:

sudo firewall-cmd --state
sudo firewall-cmd --get-default-zone

Ожидаемо: running и зона, где входящие не «всё разрешено». Рецепт включения на сервере не копируйте сюда слепо: у станции другой набор портов, чем у SSH-сервера. Если экран выключен, включайте из второй сессии и сначала на одной тестовой машине. Золотой образ должен приходить уже с включённым экраном: золотой образ.

Покрытие по реестру

Знаменатель — рабочие станции из реестра, не «те, до которых дошли». Числитель — хосты, где команда выше дала ожидаемый вывод. Три машины в выборке недостаточны, если в реестре сорок. Исключение «отдел продаж, там 1С» — с датой, иначе это дыра.

Диагностика

Где это в модели зрелости

Материал относится к направлению «Безопасность конечных устройств» (хаб: конечные устройства, карта: карта зрелости). Периметр фильтрует вход в сеть. Экран на станции закрывает соседний стол и кафе. Hardening называет меру; эта страница считает, на скольких она жива.

Как проверить

1. На выборке Windows все три профиля Enabled True и входящие Block.
2. На выборке Linux ufw active с Incoming deny либо firewalld running с жёсткой зоной.
3. Доля станций из реестра с таким статусом известна и не «примерно все».
4. Исключения с датой, не бессрочные.
5. Это не учебник nftables и не повтор раздела hardening Windows.

Источники

• CIS Control 4: cisecurity.org/controls.
• Get-NetFirewallProfile: learn.microsoft.com.