Configurare la registrazione di Windows Firewall

Per configurare Windows Firewall per registrare i pacchetti eliminati o le connessioni riuscite, è possibile usare:

• Provider di servizi di configurazione (CSP), usando una soluzione MDM come Microsoft Intune
• Criteri di gruppo

Le istruzioni seguenti forniscono informazioni dettagliate su come configurare i dispositivi. Seleziona l'opzione più adatta alle tue esigenze.

Consigli

Ecco alcuni consigli per la configurazione della registrazione di Windows Firewall:

• Modificare le dimensioni di registrazione su almeno 20.480 KB (20 MB) per assicurarsi che il file di log non si riempia troppo rapidamente. La dimensione massima del log è 32.767 KB (32 MB)
• Per ogni profilo (Dominio, Privato e Pubblico) modificare il nome del file di log predefinito da %windir%\system32\logfiles\firewall\pfirewall.log a:
  • %windir%\system32\logfiles\firewall\pfirewall_Domain.log
  • %windir%\system32\logfiles\firewall\pfirewall_Private.log
  • %windir%\system32\logfiles\firewall\pfirewall_Public.log
• Registrare i pacchetti eliminati in Sì
• Registrare le connessioni riuscite in Sì

In un singolo sistema è possibile usare i comandi seguenti per configurare la registrazione:

netsh advfirewall>set allprofiles logging allowedconnections enable
netsh advfirewall>set allprofiles logging droppedconnections enable

Metodi di analisi

Esistono diversi metodi per analizzare i file di log di Windows Firewall. Ad esempio:

• Abilitare Windows Event Forwarding (WEF) a un agente di raccolta eventi di Windows (WEC). Per altre informazioni, vedere Usare l'inoltro di eventi di Windows per facilitare il rilevamento delle intrusioni
• Inoltrare i log al prodotto SIEM, ad esempio Azure Sentinel. Per altre informazioni, vedere Connettore Windows Firewall per Microsoft Sentinel
• Inoltrare i log a Monitoraggio di Azure e usare KQL per analizzare i dati. Per altre informazioni, vedere Agente di Monitoraggio di Azure nei dispositivi client Windows

Risolvere i problemi se il file di log non viene creato o modificato

In alcuni casi i file di log di Windows Firewall non vengono creati o gli eventi non vengono scritti nei file di log. Alcuni esempi in cui potrebbe verificarsi questa condizione includono:

• Autorizzazioni mancanti per il servizio Windows Defender Firewall (mpssvc) nella cartella o nei file di log
• Si desidera archiviare i file di log in una cartella diversa e le autorizzazioni sono mancanti o non vengono impostate automaticamente
• se la registrazione del firewall è configurata tramite le impostazioni dei criteri, può accadere che
  • La cartella di log nel percorso %windir%\System32\LogFiles\firewall predefinito non esiste
  • la cartella di log in un percorso personalizzato non esiste

In entrambi i casi, è necessario creare la cartella manualmente o tramite script e aggiungere le autorizzazioni per mpssvc.

New-Item -ItemType Directory -Path $env:windir\System32\LogFiles\Firewall

Verificare se mpssvcè presente FullControl nella cartella e nei file. Da una sessione di PowerShell con privilegi elevati usare i comandi seguenti, assicurandosi di usare il percorso corretto:

$LogPath = Join-Path -path $env:windir -ChildPath "System32\LogFiles\Firewall"
(Get-ACL -Path $LogPath).Access | Format-Table IdentityReference,FileSystemRights,AccessControlType,IsInherited,InheritanceFlags -AutoSize

L'output dovrebbe mostrare NT SERVICE\mpssvc la presenza di FullControl:

IdentityReference      FileSystemRights AccessControlType IsInherited InheritanceFlags
-----------------      ---------------- ----------------- ----------- ----------------
NT AUTHORITY\SYSTEM         FullControl             Allow       False    ObjectInherit
BUILTIN\Administrators      FullControl             Allow       False    ObjectInherit
NT SERVICE\mpssvc           FullControl             Allow       False    ObjectInherit

In caso contrario, aggiungere le autorizzazioni FullControl per mpssvc alla cartella, alle sottocartelle e ai file. Assicurarsi di usare il percorso corretto.

$LogPath = Join-Path -path $env:windir -ChildPath "System32\LogFiles\Firewall"
$NewAcl = Get-Acl -Path $LogPath

$identity = "NT SERVICE\mpssvc"
$fileSystemRights = "FullControl"
$inheritanceFlags = "ContainerInherit,ObjectInherit"
$propagationFlags = "None"
$type = "Allow"

$fileSystemAccessRuleArgumentList = $identity, $fileSystemRights, $inheritanceFlags, $propagationFlags, $type
$fileSystemAccessRule = New-Object -TypeName System.Security.AccessControl.FileSystemAccessRule -ArgumentList $fileSystemAccessRuleArgumentList

$NewAcl.SetAccessRule($fileSystemAccessRule)
Set-Acl -Path $LogPath -AclObject $NewAcl

Riavviare il dispositivo per riavviare il servizio Windows Defender Firewall .