Windows 11: Built-in firewall regel wijkt af van description

[ibmpc]

Deze vraag heb ik eerder gesteld in het Intune topic, maar dit is niet een Intune vraag maar een Windows Firewall vraag.

Een bepaald Entra Joined systeem moet discoverable via network discovery. Behalve dat je dan alle regels in de groep "Network Discovery" moet inschakelen, moet je ook de regels bouwen in je firewall policy.

Een van onze vereisten is namelijk dat alle local firewall regels op endpoints worden genegeerd, en dat alleen regels via MDM worden toegepast. Dus moet ik enkele regels via MDM uitrollen. Nu kwam ik bij deze regel terecht:

code:

Name                          : NETDIS-UPnPHost-In-TCP-Teredo
DisplayName                   : Network Discovery for Teredo (UPnP-In)
Description                   : Inbound rule for Network Discovery to allow use of Universal Plug and Play. [TCP 2869]
DisplayGroup                  : Network Discovery
Group                         : @FirewallAPI.dll,-32752
Enabled                       : False
Profile                       : Public
Platform                      : 
Direction                     : Inbound
Action                        : Allow
EdgeTraversalPolicy           : Block
LooseSourceMapping            : False
LocalOnlyMapping              : False
Owner                         : 
PrimaryStatus                 : OK
Status                        : The rule was parsed successfully from the store. (65536)
EnforcementStatus             : NotApplicable
PolicyStoreSource             : PersistentStore
PolicyStoreSourceType         : Local
RemoteDynamicKeywordAddresses : 
PolicyAppId                   :

$_ | Get-NetFirewallAddressFilter
     LocalAddress             : Any
     RemoteAddress            : Any

$_ | Get-NetFirewallServiceFilter
     Service                  : Any

$_ | Get-NetFirewallApplicationFilter
     Program                  : System
     Package                  :

$_ | Get-NetFirewallInterfaceFilter
     InterfaceAlias           : Any

$_ | Get-NetFirewallInterfaceTypeFilter
     InterfaceType            : Any

$_ | Get-NetFirewallPortFilter
     Protocol                 : TCP
     LocalPort                : Any
     RemotePort               : Any
     IcmpType                 : Any
     DynamicTarget            :

$_ | Get-NetFirewallSecurityFilter
     Authentication           : NotRequired
     Encryption               : NotRequired
     OverrideBlockRules       : False
     LocalUser                : Any
     RemoteUser               : Any
     RemoteMachine            : Any

Wat is de reden dat de description van de built-in firewall rule TCP/2869 noemt, maar dat de regel zelf Any als local port heeft? Is dit een fout in de description of een fout in de configuratie van de built-in firewall rule? Of lees ik dit verkeerd?

Het gaat specifiek om regel 3:

code:

Inbound rule for Network Discovery to allow use of Universal Plug and Play. [TCP 2869]

En regel 42:

code:

LocalPort                : Any

Om het grafisch te bekijken kun je ook in wf.msc kijken. Ik lees de regel dan als volgt, kijkend naar de ingestelde waardes:

Zet voor app SYSTEM alle TCP poorten open

Ofwel een psexec -s -i krijgt dus inbound toegang tot TCP/1 t/m TCP/65535.

Maar de description in wf.msc lees ik als volgt:

Zet poort TCP/2869 open.

Ofwel alleen inbound toegang tot TCP/2869 moet worden toegestaan.

Dit kan eventueel gemitigeerd worden met een ASR block rule, maar het lijkt mij meer gewenst om de bron te fixen.

Iemand een idee? Ik heb het gevoel dat de built-in regel misschien meer open zet dan nodig en dus een beetje afwijkt van het least privilege principe. Of zie ik hier iets over het hoofd en komt de description wel overeen met de ingestelde waardes?

[ibmpc]

Schopje.

[ibmpc]

Schopje.

[ibmpc]

Schopje.

Niemand enig idee? In 24H2 staat ook nog steeds LocalPort=Any. Is mijn dyslexie moeilijk aan het doen of zit er echt een fout in de firewall rule? Dat kan toch haast niet?