Firewall Windows & matching rule & svchost

[gruik]

ok en fait les logs dont tu parles ne sont pas activés par défaut, il faut au minimum les activer via la console de management et la configuration avancée du firewall (%windir%\System32\mmc.exe %windir%\System32\wf.msc)



mais ces logs ne recensent au mieux que les paquets/connexions rejetés/droppés entrants, et en l’occurrence c'est le trafic sortant qui m’intéresse ici

le principe est simple, j'ai ce qui s'apparente sous windows à une default output policy drop (donc rien ne sort sans que je l'autorise explicitement), mon propos étant que lorsque j'installe un nouveau logiciel ou autre, je sais pas forcément quels ports il utilise, quels protocoles etc. du coup on peut vite être perdu (si si, essayez vous verrez)

finalement j'ai réussi à logguer tous les paquets droppés et avoir des infos un peu pertinentes (le nom du processus et son chemin typiquement) via auditpol

Code BATCH :

C:\>auditpol /set /subcategory:"Modification de la stratégie de niveau règle MPSSVC",
"Modification de la stratégie de plateforme de filtrage",
"Autres événements de modification de stratégie",
"Rejet de paquet par la plateforme de filtrage",
"Connexion de la plateforme de filtrage" /success:disable /failure:enable

on récupère ensuite lesdits logs via l'observateur d'évènements (%windir%\system32\eventvwr.msc /s)



reste que - et c'était ça ma question finalement - :
- il subsiste dans le firewall des règles pré-existantes qui droppent explicitement malgré la policy en vigueur, si un paquet se fait attraper par une de ces règles, je ne sais pas comment l'identifier à part avec un pif un peu chanceux
- si le processus est svchost, j'ai pas plus d'infos, là encore le coup d'utiliser tasklist /svc est utile mais ça reste un peu du pif, un peu trop flou, "on se doute que c'est par ici que c'est passé et que c'est à cause de celui là" mais y'a rien de formel