Configurar o registo da Firewall do Windows

Para configurar a Firewall do Windows para registar pacotes removidos ou ligações com êxito, pode utilizar:

• Fornecedor de Serviços de Configuração (CSP), com uma solução MDM como o Microsoft Intune
• Política de grupo (GPO)

As instruções seguintes fornecem detalhes sobre como configurar os seus dispositivos. Selecione a opção mais adequada às suas necessidades.

Recomendações

Seguem-se algumas recomendações para configurar o registo da Firewall do Windows:

• Altere o tamanho do registo para, pelo menos, 20 480 KB (20 MB) para garantir que o ficheiro de registo não é preenchido muito rapidamente. O tamanho máximo do registo é de 32 767 KB (32 MB)
• Para cada perfil (Domínio, Privado e Público) altere o nome de ficheiro de registo predefinido de %windir%\system32\logfiles\firewall\pfirewall.log para:
  • %windir%\system32\logfiles\firewall\pfirewall_Domain.log
  • %windir%\system32\logfiles\firewall\pfirewall_Private.log
  • %windir%\system32\logfiles\firewall\pfirewall_Public.log
• Registo de pacotes removidos para Sim
• Registar ligações com êxito a Sim

Num único sistema, pode utilizar os seguintes comandos para configurar o registo:

netsh advfirewall>set allprofiles logging allowedconnections enable
netsh advfirewall>set allprofiles logging droppedconnections enable

Analisar métodos

Existem vários métodos para analisar os ficheiros de registo da Firewall do Windows. Por exemplo:

• Ative o Reencaminhamento de Eventos do Windows (WEF) para um Recoletor de Eventos do Windows (WEC). Para saber mais, veja Utilizar o Reencaminhamento de Eventos do Windows para ajudar na deteção de intrusões
• Reencaminha os registos para o produto SIEM, como o nosso Azure Sentinel. Para saber mais, veja Conector da Firewall do Windows para o Microsoft Sentinel
• Reencaminhe os registos para o Azure Monitor e utilize o KQL para analisar os dados. Para saber mais, veja Agente do Azure Monitor em dispositivos cliente Windows

Resolver problemas se o ficheiro de registo não for criado ou modificado

Por vezes, os ficheiros de registo da Firewall do Windows não são criados ou os eventos não são escritos nos ficheiros de registo. Alguns exemplos quando esta condição pode ocorrer incluem:

• Permissões em falta para o Serviço de Firewall do Windows Defender (mpssvc) na pasta ou nos ficheiros de registo
• Quer armazenar os ficheiros de registo numa pasta diferente e as permissões estão em falta ou não são definidas automaticamente
• se o registo da firewall estiver configurado através das definições de política, isso pode acontecer
  • a pasta de registos na localização %windir%\System32\LogFiles\firewall predefinida não existe
  • a pasta de registos num caminho personalizado não existe

Em ambos os casos, tem de criar a pasta manualmente ou através de script e adicionar as permissões para mpssvc.

New-Item -ItemType Directory -Path $env:windir\System32\LogFiles\Firewall

Verifique se mpssvc tem FullControl na pasta e nos ficheiros. A partir de uma sessão elevada do PowerShell, utilize os seguintes comandos, garantindo que utiliza o caminho correto:

$LogPath = Join-Path -path $env:windir -ChildPath "System32\LogFiles\Firewall"
(Get-ACL -Path $LogPath).Access | Format-Table IdentityReference,FileSystemRights,AccessControlType,IsInherited,InheritanceFlags -AutoSize

O resultado deve mostrar NT SERVICE\mpssvc ter FullControl:

IdentityReference      FileSystemRights AccessControlType IsInherited InheritanceFlags
-----------------      ---------------- ----------------- ----------- ----------------
NT AUTHORITY\SYSTEM         FullControl             Allow       False    ObjectInherit
BUILTIN\Administrators      FullControl             Allow       False    ObjectInherit
NT SERVICE\mpssvc           FullControl             Allow       False    ObjectInherit

Caso contrário, adicione permissões FullControl para mpssvc à pasta, subpastas e ficheiros. Certifique-se de que utiliza o caminho correto.

$LogPath = Join-Path -path $env:windir -ChildPath "System32\LogFiles\Firewall"
$NewAcl = Get-Acl -Path $LogPath

$identity = "NT SERVICE\mpssvc"
$fileSystemRights = "FullControl"
$inheritanceFlags = "ContainerInherit,ObjectInherit"
$propagationFlags = "None"
$type = "Allow"

$fileSystemAccessRuleArgumentList = $identity, $fileSystemRights, $inheritanceFlags, $propagationFlags, $type
$fileSystemAccessRule = New-Object -TypeName System.Security.AccessControl.FileSystemAccessRule -ArgumentList $fileSystemAccessRuleArgumentList

$NewAcl.SetAccessRule($fileSystemAccessRule)
Set-Acl -Path $LogPath -AclObject $NewAcl

Reinicie o dispositivo para reiniciar o serviço firewall do Windows Defender .