Condividi tramite

Configurare la registrazione di Windows Firewall

Per configurare Windows Firewall per registrare i pacchetti eliminati o le connessioni riuscite, è possibile usare:

  • Provider di servizi di configurazione (CSP), usando una soluzione MDM come Microsoft Intune
  • Criteri di gruppo

Le istruzioni seguenti forniscono informazioni dettagliate su come configurare i dispositivi. Seleziona l'opzione più adatta alle tue esigenze.

  1. Accedere all'interfaccia di amministrazione di Microsoft Intune
  2. Passare a Endpoint security>Firewall>Create policy>Windows 10, Windows 11 e Windows Server>Windows Firewall>Create
  3. Immettere un nome e, facoltativamente, una descrizione >Avanti
  4. In Impostazioni di configurazione configurare per ogni tipo di percorso di rete (Dominio, Privato, Pubblico):
    • Percorso del file di log
    • Abilitare i pacchetti eliminati dal log
    • Abilitare le connessioni con esito positivo del log
    • Dimensioni massime file di log
  5. Selezionare Avanti avanti>
  6. Assegnare i criteri a un gruppo che contiene come membri i dispositivi o gli utenti che si desidera configurare >Creazione successiva>

Suggerimento

Se si preferisce, è anche possibile usare un criterio del catalogo impostazioni per configurare la registrazione di Windows Firewall.

In alternativa, è possibile configurare i dispositivi usando criteri personalizzati con il provider di servizi di configurazione firewall.

Profilo di rete Impostazione
Dominio Nome impostazione: EnableLogDroppedPackets
URI OMA: ./Vendor/MSFT/Firewall/MdmStore/DomainProfile/EnableLogDroppedPackets
Dominio Nome impostazione: LogFilePath
URI OMA: ./Vendor/MSFT/Firewall/MdmStore/DomainProfile/LogFilePath
Dominio Nome impostazione: EnableLogSuccessConnections
URI OMA: ./Vendor/MSFT/Firewall/MdmStore/DomainProfile/EnableLogSuccessConnections
Dominio Nome impostazione: LogMaxFileSize
URI OMA: ./Vendor/MSFT/Firewall/MdmStore/DomainProfile/LogMaxFileSize
Private Nome impostazione: EnableLogDroppedPackets
URI OMA: ./Vendor/MSFT/Firewall/MdmStore/PrivateProfile/EnableLogDroppedPackets
Private Nome impostazione: LogFilePath
URI OMA: ./Vendor/MSFT/Firewall/MdmStore/PrivateProfile/LogFilePath
Private Nome impostazione: EnableLogSuccessConnections
URI OMA: ./Vendor/MSFT/Firewall/MdmStore/PrivateProfile/EnableLogSuccessConnections
Private Nome impostazione: LogMaxFileSize
URI OMA: ./Vendor/MSFT/Firewall/MdmStore/PrivateProfile/LogMaxFileSize
Public Nome impostazione: EnableLogDroppedPackets
URI OMA: ./Vendor/MSFT/Firewall/MdmStore/PublicProfile/EnableLogDroppedPackets
Public Nome impostazione: LogFilePath
URI OMA: ./Vendor/MSFT/Firewall/MdmStore/PublicProfile/LogFilePath
Public Nome impostazione: EnableLogSuccessConnections
URI OMA: ./Vendor/MSFT/Firewall/MdmStore/PublicProfile/EnableLogSuccessConnections
Public Nome impostazione: LogMaxFileSize
URI OMA: ./Vendor/MSFT/Firewall/MdmStore/PublicProfile/LogMaxFileSize

Importante

Il percorso specificato deve avere le autorizzazioni assegnate che consentono al servizio Windows Firewall di scrivere nel file di log.

Consigli

Ecco alcuni consigli per la configurazione della registrazione di Windows Firewall:

  • Modificare le dimensioni di registrazione su almeno 20.480 KB (20 MB) per assicurarsi che il file di log non si riempia troppo rapidamente. La dimensione massima del log è 32.767 KB (32 MB)
  • Per ogni profilo (Dominio, Privato e Pubblico) modificare il nome del file di log predefinito da %windir%\system32\logfiles\firewall\pfirewall.log a:
    • %windir%\system32\logfiles\firewall\pfirewall_Domain.log
    • %windir%\system32\logfiles\firewall\pfirewall_Private.log
    • %windir%\system32\logfiles\firewall\pfirewall_Public.log
  • Registrare i pacchetti eliminati in Sì
  • Registrare le connessioni riuscite in Sì

In un singolo sistema è possibile usare i comandi seguenti per configurare la registrazione:

netsh advfirewall>set allprofiles logging allowedconnections enable
netsh advfirewall>set allprofiles logging droppedconnections enable

Metodi di analisi

Esistono diversi metodi per analizzare i file di log di Windows Firewall. Ad esempio:

Suggerimento

Se i log vengono visualizzati lentamente nella soluzione SIEM, è possibile ridurre le dimensioni del file di log. È sufficiente tenere presente che il ridimensionamento comporta un maggiore utilizzo delle risorse a causa dell'aumento della rotazione dei log.

Risolvere i problemi se il file di log non viene creato o modificato

In alcuni casi i file di log di Windows Firewall non vengono creati o gli eventi non vengono scritti nei file di log. Alcuni esempi in cui potrebbe verificarsi questa condizione includono:

  • Autorizzazioni mancanti per il servizio Windows Defender Firewall (mpssvc) nella cartella o nei file di log
  • Si desidera archiviare i file di log in una cartella diversa e le autorizzazioni sono mancanti o non vengono impostate automaticamente
  • se la registrazione del firewall è configurata tramite le impostazioni dei criteri, può accadere che
    • La cartella di log nel percorso %windir%\System32\LogFiles\firewall predefinito non esiste
    • la cartella di log in un percorso personalizzato non esiste

In entrambi i casi, è necessario creare la cartella manualmente o tramite script e aggiungere le autorizzazioni per mpssvc.

New-Item -ItemType Directory -Path $env:windir\System32\LogFiles\Firewall

Verificare se mpssvcè presente FullControl nella cartella e nei file. Da una sessione di PowerShell con privilegi elevati usare i comandi seguenti, assicurandosi di usare il percorso corretto:

$LogPath = Join-Path -path $env:windir -ChildPath "System32\LogFiles\Firewall"
(Get-ACL -Path $LogPath).Access | Format-Table IdentityReference,FileSystemRights,AccessControlType,IsInherited,InheritanceFlags -AutoSize

L'output dovrebbe mostrare NT SERVICE\mpssvc la presenza di FullControl:

IdentityReference      FileSystemRights AccessControlType IsInherited InheritanceFlags
-----------------      ---------------- ----------------- ----------- ----------------
NT AUTHORITY\SYSTEM         FullControl             Allow       False    ObjectInherit
BUILTIN\Administrators      FullControl             Allow       False    ObjectInherit
NT SERVICE\mpssvc           FullControl             Allow       False    ObjectInherit

In caso contrario, aggiungere le autorizzazioni FullControl per mpssvc alla cartella, alle sottocartelle e ai file. Assicurarsi di usare il percorso corretto.

$LogPath = Join-Path -path $env:windir -ChildPath "System32\LogFiles\Firewall"
$NewAcl = Get-Acl -Path $LogPath

$identity = "NT SERVICE\mpssvc"
$fileSystemRights = "FullControl"
$inheritanceFlags = "ContainerInherit,ObjectInherit"
$propagationFlags = "None"
$type = "Allow"

$fileSystemAccessRuleArgumentList = $identity, $fileSystemRights, $inheritanceFlags, $propagationFlags, $type
$fileSystemAccessRule = New-Object -TypeName System.Security.AccessControl.FileSystemAccessRule -ArgumentList $fileSystemAccessRuleArgumentList

$NewAcl.SetAccessRule($fileSystemAccessRule)
Set-Acl -Path $LogPath -AclObject $NewAcl

Riavviare il dispositivo per riavviare il servizio Windows Defender Firewall .