Windows Defender Firewall
Es un firewall integrado en Windows OS. Este contiene todas las funcionalidades básicas para crear reglas que permitan o denieguen el tráfico y aplicaciones. Para abrir este firewall debes ir a la barra de búsqueda de Windows y escribir "Windows Defender Firewall".
La página de entrada de WDF muestra los perfiles de red y las opciones disponibles:
Network Profiles
Hay dos perfiles de red disponibles. El firewall de Windows determina tu actual red basado en la NLA (Network Location Address) y te aplica ese perfil de red. Podemos tener diferentes configuraciones para cada uno de ellos.
- Redes privadas: Incluye configuraciones del firewall que aplicar cuando nos conectemos a una red privada, como la de nuestra casa.
- Redes públicas: Incluye configuraciones del firewall que aplicar cuando nos conectemos a una red pública, como una cafetería, restaurantes, etc.
Para permitir/denegar alguna aplicación en nuestros perfiles de red, hacemos click en la opción remarcada con un 1. Esto nos llevará a la página que lista todas las apps instaladas en nuestro sistema. Podemos marcar aquellas que queramos permitir. WDF está activado por defecto, pero si lo queremos apagar, podemos hacer click en la opción marcada con un 2. Esto nos llevará a los ajustes de ambos perfiles de red. También puedes hacer click en el 3 "Restore Defaults" para volver a los valores por defecto.
Custom Rules
WDF también te permite crear reglas personalizadas para tu red. Creemos una para bloquear todo el tráfico saliente en el puerto 80 (HTTP) o 443 (HTTPS).
Antes de crear esta regla comprobamos si podemos acceder a un sitio web:
Para crear esta regla elegimos "Configuración Avanzada" de las opciones disponibles en la dashboard. Esto abrirá una pestaña nueva.
Ahí podemos ver las opciones disponibles:
Crearemos una regla para bloquear todo el tráfico HTTP/S saliente. Para esto, hacemos click en "Outbound Rules" a la izquierda, después en "New Rule". Se abrirá el configurador de reglas. Seleccionamos "Custom" y siguiente.
En el segundo paso, seleccionamos "All programs". Te pedirá el protocolo , seleccionamos TCP, mantenemos el puerto local como está y cambiamos el puerto remoto a "Specific ports". Escribimos los números de los puertos (en nuestro caso 80 y 443). Le damos click a next.
Separa los puertos con comas sin espacios (ej: 80,443).
En la pestaña de alcance (scope), mantén las direcciones IP remotas y locales tal y como están. En la pestaña de acción, habilita la opción "Block the connection" y presiona next.
En la pestaña de perfil mantenemos todos los perfiles de red marcados. Por último, la fase final es darle un nombre a la regla y una descripción opcional y presionar Finish.
Podemos ver que nuestra regla se ha configurado:
Si ahora comprobamos la regla vemos que no podemos acceder a ningún servidor web por puerto 80 o 443:
Exercise
El equipo de seguridad notó tráfico entrante y saliente sospechoso en sus sistemas Windows críticos. Crearon reglas en su WDF para bloquear algunos en específico. Se te pide responder a unas preguntas.
- Nos conectamos con
xfreerdp3:
- Buscamos el WDF:
- Vamos a inbound y miramos el puerto 22:
- Buscamos la regla que permite que una IP en concreto acceda por SSH:
