Ausgehender Verkehr von Programmen blocken

[aeth]

Hallo zusammen,

 

ich will ausgehenden Verkehr von Programmen wie, CScript, Powershell, etc. nach extern blocken.

In der Windows Firewall (per GPO) geht das ganz schnell so:

 

Als Pfad kann man hier schön mit den %PATH%-Variablen arbeiten.

 

Im KSC wäre meine Vorgehensweise:

KES 11 Policy → Basisschutz → Firewall

und dort bei “Netzwerkregeln für Programme” Powershell hinzufügen. Hier sehe ich schon das erste Problem, dass mir mehrere Powershell Versionen angezeigt werden.

 

Muss da für jede einzelne Version eine Regel angelegt werden. Kann das nicht wie in der Windows-Firewall über den Pfad geschehen?

 

Dieses Programm würde dann beispielsweise in die Gruppe “Stark beschränkt” kommen, wo ich dann den ausgehenden Verkehr blockieren würde.

 

Also, wäre mein Ansatz der Richtige?

Wenn man eine Version auswählt, greift die Regel wirklich nur für die Version oder ist es äquivalent zu einem Pfad setzen?

[alexcad]

 

Hallo Aeth,

da ist die Kaspersky-FW tatsächlich etwas sperrig. Die Zuordnung zur Vertrauensstufe greift tatsächlich nur für die hinzugefügten Versionen und lässt sich leider nicht dynamisch, z. B. mit Masken abbilden. 
Weiterhin musst du bedenken: Auch das Modul “Programmüberwachung” agiert auf Basis der Vertrauensstufe - und das lässt sich nicht getrennt konfigurieren.

Was wir bzgl. PowerShell etc. gerne umsetzen: Wir bemühen hier die Programmkontrolle und steuern damit die Ausführung von z. B. Powershell auf Basis der AD-Benutzer bzw. Gruppen.

 

 

In den Programmkategorien lassen sich die Bedingungen auch nur auf den Dateinamen binden, und das auch mit Platzhaltern.

 

 

 

In der Regel unterbinden wir den Einsatz dieser Anwendungen auf den Clients komplett und erlauben das nur bei Bedarf auf wenigen Admin-PCs/Jump-Hosts für ausgewählte Service oder/und Admin-Accounts.

Grüße
Alex