Masquer des ports ouverts - Firewall/IDS/HIPS

[ultimate]

Bonjour,

Je rencontre un problème avec quelques ports détectés ouverts que je n'arrive pas à dissimuler via Comodo Firewall. Je ne partage pas les ports en question pour raison de séccurité.

J'ai choisis ce firewall car il possède un HIPS et une sandbox.

J'ai, après avoir détecté les ports ouverts, créé des règles règle via >Firewall>Global Rules ou j'ai ajouté les ports en question en sélectionnant block IN/OUT, TCP or UDP, et pourtant lorsque je scan à nouveau mon PC, les ports restent détectés comme étant ouvert.

Je ne sais pas si le firewall Windows reste activé en présence d'un autre, mais dans le doute, j'ai appliqué la même procédure sans succès.

Auriez-vous une idée de comment résoudre cette problématique ?

@Malekal
Par l'occasion aurais-tu une page récente consacrée au HIPS, car je suis prêt à tester un autre firewall pour résoudre mon problème, mais tiens à conserver un HIPS, voir également si possible, un programme de Sandbox. Egalement, serait-il possible d'adapter sa présentation, quitte à supprimer celle-ci et créer un nouveau profil? Merci


Merci beaucoup par avance pour votre aide et bonne journée.

ultime

[Malekal_morte]

Salut,

Alors dans l'ordre :

Si tu es derrière une box internet, ça ne sert à rien ce que tu fais.

Je rencontre un problème avec quelques ports détectés ouverts que je n'arrive pas à dissimuler via Comodo Firewall. Je ne partage pas les ports en question pour raison de séccurité.

Comodo est hyper lourd et ralentit le système.
(bon après tous les HIPS ont un impact sur le système)

J'ai, après avoir détecté les ports ouverts, créé des règles règle via >Firewall>Global Rules ou j'ai ajouté les ports en question en sélectionnant block IN/OUT, TCP or UDP, et pourtant lorsque je scan à nouveau mon PC, les ports restent détectés comme étant ouvert.

Normal que le port soit encore ouvert, le firewall n'a pas pour vocation de fermer le port.
Le programme, le serveur sont encore actifs. et le socket est en attente de connexion.
Le but du firewall est de filtrer les connexions entrantes et sortant et peut masquer le port (on ne sait pas le statut, ça peut renvoyer un statut filtered) ou encore bloquer l'accès au port et n'autoriser qu'une plage d'IP.

[ultimate]

Salut,

Alors dans l'ordre :

Si tu es derrière une box internet, ça ne sert à rien ce que tu fais.

Je rencontre un problème avec quelques ports détectés ouverts que je n'arrive pas à dissimuler via Comodo Firewall. Je ne partage pas les ports en question pour raison de séurité.

Comodo est hyper lourd et ralentit le système.
(bon après tous les HIPS ont un impact sur le système)

J'ai, après avoir détecté les ports ouverts, créé des règles règle via >Firewall>Global Rules ou j'ai ajouté les ports en question en sélectionnant block IN/OUT, TCP or UDP, et pourtant lorsque je scan à nouveau mon PC, les ports restent détectés comme étant ouvert.

Normal que le port soit encore ouvert, le firewall n'a pas pour vocation de fermer le port.
Le programme, le serveur sont encore actifs. et le socket est en attente de connexion.
Le but du firewall est de filtrer les connexions entrantes et sortant et peut masquer le port (on ne sait pas le statut, ça peut renvoyer un statut filtered) ou encore bloquer l'accès au port et n'autoriser qu'une plage d'IP.

Bonjour Malekal et merci beaucoup pour ta prompte réponse!

Je suis connecté bien à une box du provider (forcément), mais pourrais-tu juste m'expliquer comment cela se fait que "ça ne sert à rien" ?
Je précise aussi toutefois que ma gateway est un serveur avec firewall configuré par mes soins à la main et que celui-ci n'a aucun port ouvert, mais il se pourrait quand même qu'il se fasse hacké par un exploit avec élévation de privilège qui pourrait conduire à mon OS aux ports ouverts, d'où mon inquiétude (modérée, je ne fais pas dans les fraudes ou activités suspectes - mais je suis assez tatillon niveau sécurité pour éviter que mes données personnelles soient exploitées). Je compte ajouté un deuxième OS différent pour forwarder le traffic vers le premier.

Ah, je pensais que le pare-feu Comodo servait à ça entre autres, je ne comprends dès lors pas le but d'ajouter des règles visant à bloquer les traffics sur ces ports, ça paraît totalement inutile, à moins que les ports en questions restent ouverts mais soit néanmoins bloqué aux connexions (ce que je déduis).

Je vais consulter attentivement et en détail le lien que tu m'as envoyé, merci.

Malekal, est-il possible d'éditer sa présentation ? Merci

[Malekal_morte]

Parce que quand tu es connecté à une box, ton PC n'est pas directement exposé sur internet.

Ton PC (ton LAN) <=> routeur/box <=> internet

Donc quand une requête entrante se fait d'internet vers ta connexion internet (non sollicité par une connexion sortante), c'est ta box internet qui reçoit.
Si tu fermes des ports, masques ou les rend inaccessibles sur ton PC, ça ne changera rien au résultat d'un port scan depuis internet puisqu'en fait c'est ton routeur qui est testé.

Sinon pour l'histoire de ton exploit sur ton PC, il n'y a pas 50 façons de le pirater.. c'est d'y introduire un malware.
Donc si tu as des logiciels non à jour avec des vulnérabilités, faut les mettre à jour.
Le reste, c'est les conseils de sécurité habituels : Comment protéger son PC des virus et des pirates ?

L'intérêt d'un COMODO est de :
- pouvoir surveiller les connexions SORTANTES, c'est à dire d'une application qui se connecte à un serveur sur internet.
Si un trojan s'introduit, si Comodo l'empêche de se connecter à son serveur de contrôle, il ne va pas recevoir d'ordre et surtout, il ne pourra pas exfiltrer de données.
- Dans le cas d'un HIPS, tu peux suivre les modifications effectuées par un processus et aussi les contrôler. Exemple créer un nouveau processus, modifier les clés du registre pour se mettre au démarrage de Windows etc.
Mais je le redis, le problème de COMODO est qu'il est hyper lourd.. donc ralentissement du système. Il peut aussi le rendre instable => Les écrans bleus de plantages (BSOD)
Il faut aussi que les règles soient correctement faites, par exemple, ne pas bloquer n'importe comment un processus comme svchost.exe sinon par exemple les mises à jour de Windows ne se feront plus.

En clair je pense que tu auras plus de problème avec, que réel gain de sécurité.

[ultimate]

Parce que quand tu es connecté à une box, ton PC n'est pas directement exposé sur internet.

Ton PC (ton LAN) <=> routeur/box <=> internet

Donc quand une requête entrante se fait d'internet vers ta connexion internet (non sollicité par une connexion sortante), c'est ta box internet qui reçoit.
Si tu fermes des ports, masques ou les rend inaccessibles sur ton PC, ça ne changera rien au résultat d'un port scan depuis internet puisqu'en fait c'est ton routeur qui est testé.

Sinon pour l'histoire de ton exploit sur ton PC, il n'y a pas 50 façons de le pirater.. c'est d'y introduire un malware.
Donc si tu as des logiciels non à jour avec des vulnérabilités, faut les mettre à jour.
Le reste, c'est les conseils de sécurité habituels : Comment protéger son PC des virus et des pirates ?

L'intérêt d'un COMODO est de :
- pouvoir surveiller les connexions SORTANTES, c'est à dire d'une application qui se connecte à un serveur sur internet.
Si un trojan s'introduit, si Comodo l'empêche de se connecter à son serveur de contrôle, il ne va pas recevoir d'ordre et surtout, il ne pourra pas exfiltrer de données.
- Dans le cas d'un HIPS, tu peux suivre les modifications effectuées par un processus et aussi les contrôler. Exemple créer un nouveau processus, modifier les clés du registre pour se mettre au démarrage de Windows etc.
Mais je le redis, le problème de COMODO est qu'il est hyper lourd.. donc ralentissement du système. Il peut aussi le rendre instable => Les écrans bleus de plantages (BSOD)
Il faut aussi que les règles soient correctement faites, par exemple, ne pas bloquer n'importe comment un processus comme svchost.exe sinon par exemple les mises à jour de Windows ne se feront plus.

En clair je pense que tu auras plus de problème avec, que réel gain de sécurité.

Oui, juste, néanmoins je suis quand même plus rassuré d'avoir mon serveur pare-feu manuel bien sécurisé (j'espère) juste derrière et qui n'autorise que le traffic sortant (enfin plutôt forwarding) des ports que j'ai spécifié uniquement , ou en IN mais uniquement de mon réseau local.

Oui bien sûr les malwares sont des plaies, j'ai bien lu ton lien et appliquais déjà la majorité des conseils (si pas tous - système à jours, scans, browser sécurisé, antimalwares - malwarebytes - etc...), et merci pour ce bon travail (ainsi que les autres, je répète que pour moi ton site est une référence incontournable) accessible à tous par ailleurs.

J'utilise Comodo depuis des années mais n'aie jamais constaté de lenteur ou instabilité, après je fais en sorte de configurer que des machines un peu musclées pour être assez tranquille... Juste un précision, je vois dans les règles globales de Comodo qu'on peut aussi bloquer les connexions IN.

Si tu trouve néanmoins que Comodo n'est pas la meilleur solution, tu recommanderais de s'en passer je présume ? Que conseilles-tu alors niveau pare-feu?
J'ai vu tes tutos ou tu indiques le pare-feu Windows (je suis sur windows 11) est valable mais j'ai encore un peu de doute quant aux produits Microsoft... J'ai vu par contre que tu parlais de SimpleWall qui m'intéresse de tester. Je n'utilise par contre pas l'anti-virus Comodo mais celui de Windows 11 dont j'ai vu la fiabilité sur un autre de tes tutos.

Par contre, si je désintallle Comodo (prêt à le faire), je voudrais toujours avoir un HIPS que je trouve essentiel (quand bien utilisé) mais n'ai pas trouvé un de tes tutos récent sur le sujet, aurais-tu tout de même des recommandations sur le sujet ?

Merci à nouveau.

[ultimate]

Ah oui, juste pour info, Hard configurator n'est plus disponible sur GitHub (temporairement peut-être? A surveiller).
Mais je vais analyser SysHardener, Hardentools et OSArmor que je ne connaissais pas et découvert sur ton tuto.

[Malekal_morte]

Perso le pare-feu de Windows me suffit car il est léger.
On peut améliorer les règles : Firewall Windows : les bon réglages
Après c'est une question de goût, pour toi, il ne sera sûrement pas assez complet.

Tu as une liste là : https://www.malekal.com/quel-est-le-mei ... ows-10-11/

[Parisien_entraide]

Bonjour

HardConfigurator est toujours dispo
https://github.com/AndyFul/Hard_Configurator

Sur le forum quelques détails, astuces etc et autres programmes en complément
viewtopic.php?p=557920

Au passage...
Nombre de firewall tiers mettent en avant que celui de Windows ne sait gérer QUE les connexions entrantes
C'est faux
C'est comme certains tweaks qui ne servent à rien depuis XP, ce sont des histoires à la durée de vie longue
De plus l'antivirus de Microsoft n'a plus rien à voir avec celui de Windows 7 par ex, idem le firewall etc
Le tout est regroupé sous un package, (Microsoft defender) dont certaines fonctions ne sont efficaces que dans l'environnement Microsoft (Edge, Outlokk,...)

Le seul soucis du firewall de windows c'est le manque d'une interface ergonomique et de gestion de fonctions
Du reste nombre de firewalls gratuits ou payants s'appuient sur celui de Microsoft en changeant l'interface (et/ou en ajoutant des fonctions HIPS comme chez kaspersky)

Regarde la partie "sécuriser"
viewtopic.php?p=557918

-------------------------------

Edit :
Au passage OS Armor même si très bien, peut, tout comme Comodo être une source d'ennuis, si on a un soucis
Il est souvent difficile de savoir QUEL paramètre ou règle peut poser problème (on le voit souvent sur le forum)

Perso pour des membres de la famille, des personnes âgées, outre certains scripts pour le firewall (fournis dans les tutos de Malekal et qui figurent dans le lien "sécuriser" ci dessus) et Hardentools, windows defender configuré avec DefenderUI, SimpleWall.... Je n'ai JAMAIS vu de malwares s'infiltrer dans les PC de ces personnes
Pourtant malgré les conseils, elles cliquent sur tout et n'importe quoi, dont des PJ vérolés (qui sont bloquées), vont sur des sites d'actus bourrés de titres putaclics, avec parfois du téléchargement pour infecter les navigateurs (hijack) etc et... RIEN ne passe

En fait tu as une façon de voir les choses qui datent d'il y a 10 ou 15 ans, ou un usage de Comodo "pouvait" se justifier
Depuis cela a évolué (comme les malwares) , il y a de la concurrence, des pratiques faciles à mettre en oeuvre et on n'a plus besoin d'avoir une enclume pour écraser les mouches

Sinon concernant la sandbox, tu as SandBoxie plus autrement plus évolué que toutes les sandbox existantes

[ultimate]

Perso le pare-feu de Windows me suffit car il est léger.
On peut améliorer les règles : Firewall Windows : les bon réglages
Après c'est une question de goût, pour toi, il ne sera sûrement pas assez complet.

Tu as une liste là : https://www.malekal.com/quel-est-le-mei ... ows-10-11/

For bien, merci, je te fais confiance en tant que pro et vais quand même investiguer la configuration du pare-feu windows, ainsi que SimpleWall de l'un de ton tuto que j'avais déjà consulté, mais n'en changerai que si je trouve un HIPS en stand alone (je vais fureter sur le web à ce dessein).

[ultimate]

"HardConfigurator est toujours dispo
https://github.com/AndyFul/Hard_Configurator"

Non malheureusement il n'est plus possible de le télécharger, y compris via "Releases"; voici le message retourné:
"(Sorry about that, but we can’t show files that are this big right now.)"

"viewtopic.php?p=557920"
Super, Bleachbit pour Windows ! Je l'utilisais sur Linux sans savoir qu'il y avait la version Windows.

Oui l'antivirus de Windows me convient, pourtant je n'en ai pas eu pendant des années grâce au HIPS et autres outils (et jamais eu aucun problème, du moins visible...), mais j'ai changé ma stratégie, seul les imbeciles ne changent pas d'avis.

Ah j'ignorais que Kasperky avait un HIPS intégrer mais il me semble qu'il est payant (je vais vérifier).

Oui je test OS armor depuis nos échanges, je vais voir ce que ça donne, mais si quelque chose ne fonctionne pas, mon réflexe sera de le désactiver et voir si ça résout le problème tout simplement.

"Perso pour des membres de la famille, des personnes âgées, outre certains scripts pour le firewall (fournis dans les tutos de Malekal et qui figurent dans le lien "sécuriser" ci dessus) et Hardentools, windows defender configuré avec DefenderUI, SimpleWall.... Je n'ai JAMAIS vu de malwares s'infiltrer dans les PC de ces personnes"

Tiens, on peut utilise SimpleWall en plus du pare-feu Windows ? Ca n'engendre pas de conflit d'en avoir deux ?

Je ne connaissais pas Sandboxie, je vais le tester et voir si je l'adopterai dans ma trousse à outil. Open Source en plus (je suis de philosophie Linuxienne) et fait parfois des donations (je mentionne mais ne vante rien) selon mes moyens de ce que j'utilise le plus.

Merci pour tes réponses rapides et exhaustives!

[Malekal_morte]

"HardConfigurator est toujours dispo
https://github.com/AndyFul/Hard_Configurator"

Non malheureusement il n'est plus possible de le télécharger, y compris via "Releases"; voici le message retourné:
"(Sorry about that, but we can’t show files that are this big right now.)"

Le lien du setup est donné en dessous dans le readme.

[ultimate]

"HardConfigurator est toujours dispo
https://github.com/AndyFul/Hard_Configurator"

Non malheureusement il n'est plus possible de le télécharger, y compris via "Releases"; voici le message retourné:
"(Sorry about that, but we can’t show files that are this big right now.)"

Le lien du setup est donné en dessous dans le readme.

Zut, mes excuses Malekal, je dois dire que je vais souvent été sur GitHub pour des logiciels (connus à l'avanceà mais n'avais bizarrement jamais rencontré le besoin de passer par le readme file et ai agit par la mauvaise habitude car en effet, quand il est marqué readme, c'est assez eloquent.
Mais admettons qu'il est quand même étrange de partager un fichier exe en téléchargement qui renvoie vers une erreur.
Bref, on m'y reprendra pas une deuxième fois.

Merci et belle journée !

[Parisien_entraide]

"HardConfigurator est toujours dispo
https://github.com/AndyFul/Hard_Configurator"

Non malheureusement il n'est plus possible de le télécharger, y compris via "Releases"; voici le message retourné:
"(Sorry about that, but we can’t show files that are this big right now.)"

Testé à l'instant via le lien proposé
https://github.com/AndyFul/Hard_Configu ... .0.0.0.exe

Le problème est chez toi et ne vient même pas de la protection defender qui indique juste un "téléchargement non valide bloqué" comme à son habitude et qu'il suffit d'outrepasser

De plus j'ai indiqué le lien un peu partout donc je me demande comment tu as pu te tromper

L'auteur explique pourquoi

"AVERTISSEMENT!
Le faux domaine hard-configurator.com est utilisé depuis plusieurs mois par des acteurs malveillants. Veuillez ne pas l'utiliser. Quelqu'un essaie de tromper les personnes qui souhaitent obtenir des informations sur Hard_Configurator.

Au passage je ne sais pas si tu as vu qu'il y avait une page "une"
viewtopic.php?t=65877

Ah j'ignorais que Kasperky avait un HIPS intégrer mais il me semble qu'il est payant (je vais vérifier).

Il n'y a plus de version "FREE" seulement une version complète utilisable X jours
Sinon oui c'est payant mais en se débrouillant avec les versions et en prenant sur Amazon on peut avoir une solution qui revient qu'à 4 à 7 euros par an et par poste

Tiens, on peut utilise SimpleWall en plus du pare-feu Windows ? Ca n'engendre pas de conflit d'en avoir deux ?

Je pense que tu devrais te concentrer sur la lecture et ne pas lire en diagonale. Avec ces outils, si tu loupes un mot, tu cours à la castastrophe
J'ai collé un avant propos qui explique ce qu'il est (il me semble qu'elle vient de l'auteur, je ne me suis pas trop foulé :-)

Je ne connaissais pas Sandboxie, je vais le tester et voir si je l'adopterai dans ma trousse à outil. Open Source en plus (je suis de philosophie Linuxienne) et fait parfois des donations (je mentionne mais ne vante rien) selon mes moyens de ce que j'utilise le plus.

Tu un tuto et présentation sur le site
https://www.malekal.com/sandboxie-secur ... bac-sable/

Par contre même si on peut l'utiliser tel quel, la version PLUS peut demander une participation qui n'est pas négligeable
A la sortie, puisque le projet avait été repris, c'était nettement moins cher et j'avais payé pour 2 ans
Là je pense que vu les tarifs ca en restera là en fin d'abonnement

Tu ne trouveras rien de mieux comme bac à sable
Perso j'ai testé pas mal de malwares, dont les derniers stealer.. RIen ne passe, rien ne fuite (mais la configuration aux p'tits oignons demande à ce qu'on lui passe du temps, mais permet en plus de se créer des profils)

[ultimate]

Bonjour Malekal,

Merci pour le complément d'information.

Oui c'est noté pour Hard configurator, j'ai pu le télécharger et vais le tester (toujours avec ton tuto).
Concernant le message d'erreur, peut-être était-ce du à une extension de mon navigateur, je n'avais pas chercher beaucoup plus loin, comme je disais, je n'avais encore jamais rencontré ce problème sur GitHub précédemment.

Je vais consulter ton nouveau lien (page "une"), merci.

En effet, le prix de Kaspersky est très démocratique, ça vaut la peine à ce tarif.

Oui c'est vrai j'ai parcouru certains sujets (pas touts) un peu en diagonale car j'étais un peu occupé en même temps sur mon serveur pour débloquer une situation, désolé.

Pour SimpleWall, je vais étudier le tuto idoine.

Pour Sandboxie je vais en effet aussi consulter ce tutoriel (je l'avais mis dans mes favoris) pas-à-pas qui a l'air très intéressant. Là aussi j'avais la fonctionnalité de Comodo mais vais la désactiver au profit de Sandboxie en toute confiance de tes propos à ce sujet.

Merci encore et passe une agréable journée.

[Malek84]

Salut,

Voici quelques pistes qui pourraient t'aider à résoudre le problème :

Double vérification des règles : Assure-toi que les règles que tu as créées sont bien positionnées en haut de la liste des "Global Rules". Comodo traite les règles de haut en bas, donc si une règle plus permissive est placée avant celle que tu as créée, elle pourrait permettre le trafic.

Désactivation du firewall Windows : Il est effectivement possible que le pare-feu Windows soit toujours actif. Pour éviter tout conflit, tu peux essayer de le désactiver complètement. Va dans Panneau de configuration > Système et sécurité > Pare-feu Windows et désactive-le pour tous les types de réseaux.

Réglages avancés dans Comodo : Vérifie aussi les paramètres avancés, notamment la configuration du HIPS (Host Intrusion Prevention System). Parfois, certains comportements autorisés par le HIPS peuvent empêcher le blocage complet des ports.

Scan des processus : Parfois, les ports ouverts sont dus à des processus légitimes qui ne sont pas affectés par les règles de pare-feu standard. Tu peux utiliser un outil comme TCPView pour identifier exactement quel processus est lié à ces ports ouverts.

Alternative au firewall : Concernant ta demande sur un autre firewall avec HIPS et sandboxing, Malwarebytes Premium peut être une alternative, même si ce n'est pas un firewall complet. Sinon, ESET Smart Security est réputé pour son HIPS efficace.

Si tu veux changer complètement de pare-feu, tu pourrais envisager une réinstallation propre de Comodo, ou même tester une autre solution comme ZoneAlarm (que j'utilise et que j'aime bien), qui propose également une protection HIPS.

Bon courage!