Windows: Не отключай Firewall! Управляй им как профи через PowerShell

Самый частый "совет" по решению проблем с сетью в Windows — "отключи брандмауэр". С точки зрения безопасности — это катастрофа. Графический интерфейс файрвола действительно неудобен, но у архитектора есть PowerShell.
Управлять правилами из командной строки — быстро, удобно и, главное, автоматизируемо.
Базовые команды, которые нужно знать:
Проверить статус всех профилей (Domain, Private, Public):
PowerShell

Get-NetFirewallProfile | Format-Table Name, Enabled

Создать простое правило (например, разрешить входящий SSH):
PowerShell

New-NetFirewallRule -DisplayName "Allow SSH In" -Direction Inbound -Protocol TCP -LocalPort 22 -Action Allow -Profile Domain, Private

Найти и временно отключить правило:
PowerShell

# Находим правило по имени
Get-NetFirewallRule -DisplayName "Allow SSH In"

# Отключаем его, не удаляя
Disable-NetFirewallRule -DisplayName "Allow SSH In"

Управлять правилами на удалённом сервере:
Используем CIM-сессии для удалённого выполнения.
PowerShell

$session = New-CimSession -ComputerName WEBSRV01
Get-NetFirewallRule -CimSession $session -DisplayName "Allow-File-And-Printer-Sharing"

Взгляд архитектора:
Брандмауэр — это не помеха, а критический компонент эшелонированной обороны (Defense in Depth). Использование PowerShell позволяет применять Конфигурацию как Код (CaC) к правилам безопасности. Вы можете хранить скрипты с правилами в Git, версионировать их и раскатывать на сотни серверов, гарантируя единый стандарт безопасности по всей инфраструктуре.

#windows #security #powershell #firewall #networking #гайд

🌐 Skill: hping3 — швейцарский нож для проверки Firewall и MTU 🛠️

Обычный ping (ICMP) часто блокируется брандмауэрами.
В 2026 году для глубокой диагностики сети мы используем hping3.
Он умеет имитировать TCP, UDP, ICMP и даже Raw-IP пакеты, позволяя проверить, открыт ли порт на самом деле или почему пакеты «бьются».

Примеры использования:

Проверка TCP-порта (SYN-флуд тест или просто проверка доступности):

sudo hping3 -S -p 80 1.2.3.4

Проверка MTU (поиск Path MTU Discovery проблем):

sudo hping3 --icmp --set-mtu 1450 --dont-fragment 1.2.3.4

hping3 позволяет вручную выставлять флаги TCP (SYN, ACK, FIN), что незаменимо при отладке правил в iptables, firewalld или pfsense.

#networking #security #hping3 #firewall #troubleshooting #sysadmin #devops

🐧 Linux: Переходим на `nftables` — гибкое управление трафиком без боли

Если ты всё еще используешь `iptables`, пора признать: пора двигаться дальше. В 2026 году `nftables` — это стандарт. Он быстрее, эффективнее и позволяет писать правила, которые читаются как стихи (ну, почти). Главная фишка — использование «сетов» (sets), которые позволяют проверять тысячи IP-адресов за один проход.

Техническое решение:
Создаем динамический список для блокировки тех, кто слишком активно стучится на 22 порт.

Команды для настройки:

# Создаем таблицу и цепочку
nft add table inet my_filter
nft add chain inet my_filter input { type filter hook input priority 0 \; }

# Создаем сет для "плохих парней" с таймаутом в 1 час
nft add set inet my_filter blackhole { type ipv4_addr \; flags timeout \; }

# Добавляем правило: если более 5 попыток за минуту — в бан
nft add rule inet my_filter input tcp dport 22 meter flood { ip saddr timeout 1m limit rate over 5/minute } add @blackhole { ip saddr } drop

# Дропаем всех, кто в блэкхоле
nft insert rule inet my_filter input ip saddr @blackhole drop

#linux #networking #nftables #security #firewall #sysadmin #admin_future

🧱 Skills: Правило нулевого доверия и «Искусство комментариев» в фаерволе

Неважно, настраиваете вы сложный кластер на Linux (iptables/nftables) или пишете ruleset для маршрутизатора (вроде MikroTik) — есть одно железное правило, отличающее джуниора от мидла.

Любое разрешающее правило без комментария — это потенциальная уязвимость.

Сценарий: Вы открыли порт 3389 для вендора, который настраивал софт. Дело было в пятницу вечером. Прошло полгода. Вы смотрите в конфиг фаервола и видите chain=forward action=accept dst-port=3389 protocol=tcp. Кто это просил? Зачем? Актуально ли это сейчас? Удалять страшно (вдруг сломается прод), оставлять — опасно (открытый RDP в 2026-м — это билет в клуб жертв шифровальщиков).

Как делать правильно:
1. Default Deny: Последнее правило всегда `Drop All`. Разрешено только то, что явно описано выше.
2. Формат комментария: `[Дата] - [Кто запросил/Номер тикета] - [Причина]`.
* Пример: "2026-04-03 - Ticket#1024 - Доступ вендору CRM к базе данных. Удалить 01.05.26"
3. Группировка: Разделяйте правила на смысловые блоки: Management, Internal, DMZ, Outbound.

Для вашего спокойствия и легкой передачи дел. Инфраструктура, которую нельзя прочитать как открытую книгу, считается техническим долгом.

Фаервол — это не просто стена. Это КПП, где в журнале должен быть записан каждый, кому выдали пропуск.

#skills #firewall #security #networking #bestpractices #admin_future

🔥 Palo Alto PAN-OS: RCE с правами root через интерфейс управления. Плюс итоги недели по KEV

Коллеги, пятница. Перед выходными — закрываем периметр.

📌 ФАКТЫ
CVE-2026-0322, CVSS 4.0 — 8.6, внедрение кода (CWE-94) в management interface PAN-OS

Аутентифицированный атакующий с сетевым доступом выполняет код от root. Специальной конфигурации не требуется

Затронуты PA-Series, VM-Series и Panorama. Cloud NGFW и Prisma Access — нет

Palo Alto сообщает об «очень ограниченной эксплуатации». Обходного решения нет

Исправления — для веток 10.2, 11.1, 11.2, 12.1, 12.2 (например, 11.2.16). Неподдерживаемые версии патча не получат

📋 KEV ЗА НЕДЕЛЮ (CISA, сроки для госорганов США — 16–17 октября)
CVE-2026-0322 — Palo Alto PAN-OS

CVE-2026-76519 — Cisco Secure Email Gateway

CVE-2026-105133 / 105134 — AhsayCBS

CVE-2026-96951 — Windows Shell, обход MotW

🛡 ПЛАН НА СЕГОДНЯ
Интерфейс управления файрвола и Panorama — только из management-сети или с jump-хоста. Не из интернета

Обновить до исправленного hotfix в своей ветке

Сменить пароли администраторов и проверить список учёток: эксплуатация требует аутентификации, значит, атакующие используют украденные или слабые пароли

Логи управления — необычные входы, изменения конфигурации

💡 В ЧЁМ СУТЬ

«Требует аутентификации» не значит «не опасно». На практике это значит «опасно в связке с утёкшим паролем». Отдельная админ-сеть плюс MFA на вход в управление закрывают и эту CVE, и следующую.

#alert #paloalto #firewall #kev #cve #sysadmin #admin_future

🔌 Cisco ASA/FTD: второй zero-day в VPN с августа. Атакующие не взламывают VPN — они его просто выключают

Коллеги, классика жанра: «у нас VPN отвалился» — «перезагрузите роутер». Только теперь ваш пограничный шлюз перезагружают снаружи. Без спроса и пароля.

📌 ФАКТЫ
CVE-2026-76418 (CVSS 8.6) — критическая уязвимость в подсистеме SSL VPN / AnyConnect на платформах Cisco ASA и Firepower Threat Defense (FTD)

Позволяет неаутентифицированному удалённому атакующему отправить специально сформированные запросы и вызвать крах процесса с аварийной циклической перезагрузкой всего устройства (Denial of Service)

Под ударом конфигурации шлюзов, где настроена вторичная аутентификация (Secondary Authentication / 2FA)

Дыру активно эксплуатируют в дикой природе как zero-day. Это уже второй боевой 0-day в коде VPN-шлюзов Cisco с начала августа

CISA оперативно включила вектор в каталог обязательных к закрытию угроз CISA KEV

🛠 АУДИТ КОНФИГУРАЦИИ (CLI Cisco ASA)
Plaintext

# 1. Проверяем установленную версию софта
show version | include Version

# 2. Ищем признаки опасной связки: tunnel-group с двойной аутентификацией
show running-config tunnel-group | include secondary

# 3. Анализируем дампы падений и причину последнего ребута
show crashinfo | include Uptime|reload
show logging | include reload|Reload

Если в выводе присутствует директива secondary-authentication-server-group, хост находится в зоне прямого риска.

Сверяйте версии с официальным security advisory вендора: исправления выкачены для линеек 9.16, 9.18, 9.20 и соответствующих релизов FTD.

😅 ЖИЗНЕННОЕ
Внезапный ребут ASA в разгар рабочего дня гарантирует мгновенный взрыв всех корпоративных чатов: сотни удалёнщиков синхронно теряют сессии, RDP и телефонию.

Если пограничный маршрутизатор внезапно «устал» и перезагрузился в 3 часа ночи — это не плавающий аппаратный глюк памяти, а веский повод немедленно лезть в crashinfo и логи сислога.

💡 В ЧЁМ СУТЬ

Вектор DoS на периметровом шлюзе — это не просто «временный обрыв связи». В сценариях таргетированных атак принудительный ребут фаервола используется для:

Принудительного разрыва сессий и перехвата хэндшейков при повторном подключении;

Создания дымовой завесы («пока админы чинят упавший шлюз, внутри тихо эксфильтруют БД»);

Обхода механизмов failover/HA, если ноды падают по очереди.

Алерт в мониторинге на изменение аптайма периметра и лог

SYS-1-611103

(Device reload) — базовая гигиена любого сетевого инженера.

#cisco #asa #vpn #firewall #zeroday #юмор #sysadmin #admin_future