Windows Filtering Platform (WFP) w praktyce – jak Windows kontroluje ruch sieciowy od środka

Kiedy użytkownik uruchamia przeglądarkę, klienta poczty albo grę sieciową, zwykle zakłada, że aplikacja po prostu „łączy się z internetem”. W rzeczywistości każda komunikacja sieciowa w Windows przechodzi przez wiele warstw systemu, zanim pojedynczy pakiet opuści komputer.

System musi zdecydować:

• czy zezwolić na połączenie,
• czy zablokować ruch,
• czy zastosować reguły zapory,
• czy przepuścić pakiet przez moduły bezpieczeństwa,
• czy poinformować inne komponenty o zdarzeniu.

Za dużą część tych decyzji odpowiada Windows Filtering Platform (WFP).

To jeden z najważniejszych mechanizmów bezpieczeństwa w Windows, ale jednocześnie jeden z najmniej rozumianych. Wielu użytkowników kojarzy zaporę Windows wyłącznie z listą reguł w panelu sterowania, nie zdając sobie sprawy, że za tym interfejsem działa znacznie bardziej zaawansowana architektura.

Czym jest Windows Filtering Platform?

Windows Filtering Platform to framework dostępny od czasów Windows Vista i Windows Server 2008, który umożliwia filtrowanie oraz analizowanie ruchu sieciowego na różnych poziomach stosu sieciowego Windows.

W uproszczeniu:

WFP jest warstwą pośrednią pomiędzy aplikacjami, sterownikami sieciowymi i mechanizmami bezpieczeństwa systemu.

Nie jest samą zaporą.

To bardzo ważne rozróżnienie.

Windows Defender Firewall korzysta z WFP, ale nie jest jedynym komponentem, który może go wykorzystywać.

Z WFP współpracują również:

• rozwiązania antywirusowe,
• systemy EDR,
• VPN,
• oprogramowanie filtrujące ruch,
• mechanizmy kontroli rodzicielskiej,
• narzędzia monitorowania sieci.

Dlaczego Microsoft stworzył WFP?

Przed Windows Vista filtrowanie ruchu sieciowego było bardziej rozproszone.

Różne technologie próbowały kontrolować komunikację:

• sterowniki NDIS,
• filtry Winsock,
• własne sterowniki firm trzecich.

Powodowało to kilka problemów:

• konflikty między programami zabezpieczającymi,
• niestabilność systemu,
• trudniejszą diagnostykę,
• większe ryzyko błędów w sterownikach.

Microsoft potrzebował jednego spójnego modelu.

WFP stworzyło centralny punkt, przez który mogą przechodzić decyzje dotyczące ruchu sieciowego.

Gdzie znajduje się WFP w architekturze Windows?

Aby zrozumieć działanie WFP, trzeba spojrzeć na drogę pakietu sieciowego.

Przykład:

Użytkownik otwiera stronę HTTPS.

Proces wygląda mniej więcej tak:

Aplikacja
   ↓
Winsock API
   ↓
TCP/IP Stack
   ↓
Windows Filtering Platform
   ↓
Sterowniki sieciowe
   ↓
Karta sieciowa
   ↓
Internet

WFP może przeanalizować ruch zanim zostanie on wysłany lub zanim trafi do aplikacji.

Warstwy filtrujące WFP

Jedną z najważniejszych cech WFP jest możliwość filtrowania ruchu w wielu miejscach.

WFP posiada tak zwane filtering layers.

Każda warstwa odpowiada innemu etapowi przetwarzania danych.

Przykłady:

ALE (Application Layer Enforcement)

Jedna z najważniejszych grup warstw.

Pozwala podejmować decyzje dotyczące aplikacji.

Przykład:

Program:

C:\Program Files\App\program.exe

próbuje otworzyć połączenie TCP.

WFP może sprawdzić:

• jaki proces wykonuje połączenie,
• jaki użytkownik go uruchomił,
• jaki jest adres docelowy,
• jaki port jest używany.

Warstwy transportowe

Kontrolują ruch na poziomie:

• TCP,
• UDP.

Pozwalają analizować:

• porty,
• adresy IP,
• kierunek ruchu.

Warstwy IP

Działają niżej, analizując pakiety IP.

Przydatne między innymi dla:

• zapór sieciowych,
• systemów IDS/IPS,
• rozwiązań bezpieczeństwa.

Jak działa reguła zapory Windows?

Wielu użytkowników myśli:

„Zapora widzi program i blokuje go.”

W rzeczywistości proces jest bardziej złożony.

Przykład:

Aplikacja próbuje połączyć się z serwerem.

WFP otrzymuje zdarzenie:

• proces: chrome.exe,
• użytkownik: Marek,
• protokół: TCP,
• adres: 142.x.x.x,
• port: 443.

Następnie silnik filtrowania sprawdza:

• istniejące reguły,
• priorytety filtrów,
• kontekst bezpieczeństwa.

Jeżeli odpowiedni filtr zezwala na ruch, połączenie jest kontynuowane.

Jeżeli istnieje reguła blokująca – zostaje zatrzymane.

Filtry WFP – najważniejszy element platformy

WFP działa na podstawie filtrów.

Filtr może określać:

• co analizować,
• kiedy reagować,
• jaką akcję wykonać.

Przykład filtra:

Jeżeli:
proces = unknown.exe
oraz
port = 4444

Wykonaj:
BLOCK

Albo:

Jeżeli:
aplikacja = Teams.exe
oraz
adres = firma VPN

Wykonaj:
ALLOW

Dzięki temu możliwe jest tworzenie bardzo szczegółowych zasad bezpieczeństwa.

Callout Drivers – rozszerzanie WFP przez sterowniki

Jedną z najbardziej zaawansowanych funkcji WFP są tak zwane callout drivers.

Są to sterowniki działające w Kernel Mode, które mogą przechwytywać i analizować ruch.

Wykorzystują je między innymi:

• zapory klasy enterprise,
• systemy ochrony punktów końcowych,
• rozwiązania antywirusowe.

Przykład:

Firma posiada system EDR.

Gdy proces zaczyna wysyłać nietypowy ruch:

1. WFP przekazuje zdarzenie do sterownika,
2. sterownik analizuje zachowanie,
3. podejmuje decyzję,
4. ruch zostaje zaakceptowany albo zablokowany.

WFP a Windows Defender Firewall

Windows Defender Firewall jest jednym z użytkowników WFP.

Interfejs, który widzi administrator:

• reguły przychodzące,
• reguły wychodzące,
• profile sieciowe,

to tylko warstwa zarządzania.

Pod spodem działają mechanizmy WFP.

Dlatego gdy administrator tworzy regułę:

„Zablokuj aplikację X”

w rzeczywistości tworzony jest odpowiedni filtr WFP.

Diagnostyka WFP w praktyce

WFP jest bardzo przydatne podczas rozwiązywania problemów sieciowych.

Przykładowe sytuacje:

Program nie może połączyć się z internetem

Możliwe przyczyny:

• blokada zapory,
• filtr bezpieczeństwa,
• reguła WFP,
• sterownik VPN.

VPN działa, ale aplikacja nie ma dostępu

Często problemem nie jest sam VPN.

Może istnieć filtr WFP ograniczający:

• trasowanie,
• konkretną aplikację,
• określony typ ruchu.

Antywirus blokuje aplikację

Program zabezpieczający może instalować własne filtry WFP.

Wtedy sama zapora Windows może wyglądać poprawnie, ale ruch nadal jest blokowany.

Narzędzia do analizy WFP

Administratorzy korzystają między innymi z:

netsh

Przykładowo:

netsh wfp show state

Pozwala zebrać informacje o aktualnym stanie platformy.

Event Viewer

W dziennikach:

Applications and Services Logs
 └ Microsoft
    └ Windows
       └ Windows Firewall With Advanced Security

można znaleźć informacje o blokowanym ruchu.

pktmon

Narzędzie Packet Monitor dostępne w Windows.

Pozwala analizować ruch sieciowy na poziomie systemowym.

Wireshark

Przydatny do analizy pakietów, szczególnie gdy trzeba porównać:

• co wysyła aplikacja,
• co blokuje system.

WFP a bezpieczeństwo Windows

Współczesne ataki często wykorzystują komunikację sieciową.

Malware po infekcji może próbować:

• połączyć się z serwerem C2,
• pobrać dodatkowe moduły,
• wysłać dane użytkownika.

WFP pozwala ograniczać takie zachowania.

Może kontrolować:

• aplikację inicjującą ruch,
• użytkownika,
• protokół,
• adres docelowy.

To znacznie bardziej precyzyjne niż klasyczne podejście:

„blokuj port 443”.

Czy WFP można wyłączyć?

Technicznie nie jest to mechanizm przeznaczony do wyłączania.

Jest integralną częścią architektury sieciowej Windows.

Próby jego obchodzenia często prowadzą do:

• problemów z siecią,
• obniżenia bezpieczeństwa,
• konfliktów sterowników.

WFP w środowisku firmowym

W dużych organizacjach WFP jest jednym z elementów kontroli bezpieczeństwa.

Może współpracować z:

• politykami grupowymi,
• rozwiązaniami EDR,
• systemami VPN,
• kontrolą dostępu.

Administrator może tworzyć zasady typu:

• aplikacja finansowa może komunikować się tylko z określonym serwerem,
• nieznane procesy nie mogą wychodzić do internetu,
• urządzenia użytkowników muszą korzystać z określonych kanałów komunikacji.

Podsumowanie

Windows Filtering Platform jest jednym z kluczowych elementów współczesnej architektury bezpieczeństwa Windows. Nie jest zwykłą zaporą, ale całym frameworkiem pozwalającym systemowi i aplikacjom zabezpieczającym analizować ruch sieciowy na wielu poziomach.

Najważniejsza rzecz do zapamiętania:

Windows Defender Firewall jest tylko jednym z użytkowników WFP. Sama platforma działa znacznie głębiej – na poziomie systemu operacyjnego i stosu sieciowego.

Zrozumienie WFP pozwala inaczej spojrzeć na problemy typu „program nie ma internetu”, „VPN nie działa” czy „antywirus blokuje aplikację”. W wielu przypadkach przyczyna nie znajduje się w samej aplikacji, ale właśnie w warstwie filtrowania ruchu działającej wewnątrz Windows.

Polecane wpisy

Jak działają wyszukiwarki?

Wyszukiwarka składa się z czterech podstawowych elementów: 1. Pająk (Spider, Crawler), Spider czyta tekst na stronie internetowej tak jak przeglądarka. Czytaj dalej

Jak skonfigurować WiFi w laptopie?

Jak skonfigurować WiFi w laptopie? W dzisiejszych czasach prawie każdy ma w domu laptopa. Laptopy umożliwiają podłączenie się do internetu Czytaj dalej