🛡️ Firewall Windows Defender w Windows 12: Ukryte funkcje, które musisz znać

🔐 1. Czym jest Firewall Windows Defender w Windows 12

Firewall Windows Defender to wbudowany w Windows 12 system kontroli ruchu sieciowego, który działa na poziomie jądra i filtruje dane na podstawie reguł:

• Ochrona aplikacji i portów
• Blokowanie nieautoryzowanych połączeń
• Filtrowanie ruchu wychodzącego (domyślnie dozwolone) i przychodzącego (domyślnie blokowane)
• Obsługa reguł na podstawie grup użytkowników, certyfikatów, usług

W Windows 12 Firewall został gruntownie przebudowany z naciskiem na automatyzację, telemetrię i kompatybilność z DevOps.

📊 2. Nowości w architekturze systemu zabezpieczeń

Windows 12 wprowadza:

• FirewallCore NG – nowy silnik reguł z lepszym przetwarzaniem wielu reguł równocześnie
• Połączenie z SIEM przez Microsoft Sentinel
• Integrację z Defender XDR i MDE
• Wsparcie dla IPv6 Segment Routing i filtracji SRv6

Firewall zyskał nowe typy reguł, np. AppID, FQDN, ContainerIsolation, które są niewidoczne w GUI, ale dostępne z poziomu PowerShell i Intune.

🧭 3. Tryby pracy: profil domeny, prywatny i publiczny

Windows Defender Firewall działa w ramach trzech kontekstów sieciowych:

🔧 Zmiana aktywnego profilu:

Get-NetConnectionProfile | Set-NetConnectionProfile -NetworkCategory Public

⚙️ 4. Konfiguracja przez GUI vs PowerShell

🖱️ GUI:

• Panel „Zabezpieczenia Windows” → „Zapora i ochrona sieci”
• Edytor zasad za pomocą wf.msc
• Intuicyjne, ale ograniczone funkcje

⚙️ PowerShell:

• Pełna kontrola przez New-NetFirewallRule, Set-NetFirewallRule, Get-NetFirewallRule
• Możliwość automatyzacji przez skrypty i GPO
• Dostęp do ukrytych atrybutów reguł

New-NetFirewallRule -DisplayName "Zablokuj FTP" -Direction Outbound -RemotePort 21 -Action Block

🔍 5. Ukryte funkcje i niedokumentowane opcje

🔐 Security i Authentication:

Możliwość wymuszenia IPsec i szyfrowania na poziomie aplikacji

🌍 FQDN Filtering:

Blokowanie lub zezwalanie na domeny – np. tylko *.microsoft.com

New-NetFirewallRule -DisplayName "Allow Microsoft Domains" -Direction Outbound -RemoteFqdn "*.microsoft.com" -Action Allow

🧬 Edge Traversal:

Kontrola ruchu P2P i aplikacji typu VoIP

🧊 Service Restriction:

Tworzenie reguł tylko dla określonej usługi działającej w systemie

🧱 6. Tworzenie i zarządzanie regułami wychodzącymi i przychodzącymi

Windows 12 pozwala tworzyć reguły na podstawie:

• Portów
• Adresów IP (IPv4/IPv6)
• Aplikacji (.exe)
• Usług (np. svchost.exe z ograniczeniem do DHCP)
• Zaufanych certyfikatów aplikacji

📌 Rekomendacja bezpieczeństwa:
👉 Zawsze blokuj ruch przychodzący domyślnie, dopuszczając tylko określone porty i aplikacje.
👉 W środowiskach korporacyjnych rozważ whitelisting ruchu wychodzącego.

🧠 7. Dynamiczne reguły i integracja z Windows Security

Co to są reguły dynamiczne?

• Tworzone przez system w odpowiedzi na zdarzenie (np. DHCP, VPN reconnect)
• Tymczasowe, wygasające po restarcie

Można je monitorować i analizować:

Get-NetFirewallRule -Dynamic

Firewall jest również zintegrowany z alertami Windows Security Center i może reagować na:

• Wykrycie złośliwego procesu
• Zmianę statusu sieci
• Wstrzykiwanie kodu do procesu

🔄 8. Reguły tymczasowe i inspekcja stanu połączenia

Stateful Inspection:

Firewall analizuje każdy pakiet i śledzi stany (new, established, related).

Można tworzyć reguły:

New-NetFirewallRule -Direction Inbound -Protocol TCP -RemotePort 443 -Action Allow -EdgeTraversalPolicy Allow

Opcje:

• Allow edge traversal – wymagane dla niektórych usług (np. Teredo)
• Program rule – dla konkretnej ścieżki .exe
• Service rule – z ograniczeniem do svchost-owych komponentów

💻 9. Integracja z WSL2, Hyper-V i środowiskami kontenerowymi

Firewall Windows Defender obsługuje:

• Separację ruchu WSL2 od hosta
• Tworzenie reguł między VM a hostem (Hyper-V NAT vs External Switch)
• Wykrywanie kontenerów Docker przez adresację 172.x i filtrowanie

New-NetFirewallRule -InterfaceAlias "vEthernet (WSL)" -Action Block

🔄 10. Synchronizacja z Microsoft Defender for Endpoint

Jeśli firma korzysta z Microsoft Defender for Endpoint (MDE), to Firewall:

• Zbiera telemetrię ruchu i przesyła do portalu Microsoft 365 Defender
• Umożliwia dynamiczne tworzenie reguł w odpowiedzi na incydent (ATP)
• Integruje się z Attack Surface Reduction Rules i GPO

🚨 11. Wykrywanie nieautoryzowanego ruchu i alerty

Firewall można skonfigurować do generowania alertów i logów w:

• Event Viewer (Microsoft-Windows-Windows Firewall With Advanced Security)
• Pliki dziennika w %systemroot%\system32\LogFiles\Firewall`
• Sysmon + Winlogbeat + Elastic Stack
• PowerShell Watcher Scripts

📁 12. Eksportowanie, backup i import polityk zapory

Można łatwo wykonać eksport konfiguracji:

Export-WindowsFirewallRules -FilePath "C:\Backup\firewall.wfw"

Import i backup:

netsh advfirewall export "C:\Backup\firewall.wfw"
netsh advfirewall import "C:\Backup\firewall.wfw"

📦 13. Filtry rozszerzone: zasady bazujące na usługach, grupach i użytkownikach

Nowość w Windows 12:
Możliwość tworzenia reguł dla konkretnego użytkownika lub grupy AD:

New-NetFirewallRule -DisplayName "Allow Outlook" -Direction Outbound -Program "C:\Program Files\Outlook.exe" -AuthorizedUsers "DOMAIN\User1"

Dostępne filtry:

• AuthorizedUsers
• AuthorizedComputers
• RemoteMachineAuthorizationList

🧪 14. Analiza i audyt: logi, zdarzenia i monitorowanie

Windows Firewall wspiera pełny audyt:

• Zdarzenia akceptacji i odrzucenia
• Monitorowanie za pomocą AuditPol, Event Viewer, PowerShell Logging
• Telemetria przez Microsoft Defender Advanced Hunting

🛠️ Przykład wyszukiwania zdarzeń:

Get-WinEvent -LogName "Microsoft-Windows-Windows Firewall With Advanced Security/Firewall" | Where-Object { $_.Id -eq 5157 }

🧰 15. Praktyczne scenariusze zastosowań

📎 16. Podsumowanie: Firewall jako narzędzie klasy enterprise

Firewall Windows Defender w Windows 12 to nie tylko narzędzie dla użytkowników domowych. Jego pełne możliwości obejmują:

✅ Zaawansowane scenariusze filtracji ruchu
✅ Integrację z politykami bezpieczeństwa i systemami SIEM
✅ Obsługę kontenerów, WSL2 i środowisk hybrydowych
✅ Możliwość zautomatyzowanej ochrony na poziomie aplikacji, usługi, użytkownika i domeny
✅ Oparcie o nowoczesne standardy kryptografii i inspekcji ruchu

Dzięki temu Firewall staje się centralnym punktem ochrony endpointa w środowisku Zero Trust.

Polecane wpisy

Łatwy transfer w systemie Windows – jak go używać do przenoszenia danych i ustawień

Łatwy transfer w systemie Windows – jak go używać do przenoszenia danych i ustawień Przenoszenie danych, kont użytkowników i ustawień Czytaj dalej

Integracja systemu Windows z usługami chmury

Integracja systemu Windows z usługami chmury stanowi istotny element strategii Microsoft w obszarze rozwiązań informatycznych. Przez wiele lat firma Microsoft Czytaj dalej