Insistenti connessioni di svchost [Archivio]

sh4rk_89

18-10-2008, 12:08

Ciao a tutti,
ho un dubbio riguardo le continue connessioni di svchost (e non è il virus..).
Come firewall uso Comodo che mi segnala costantemente il tentativo di svchost di accedere (con delle connessioni UDP in uscita dalla porta 58874 su una porta a caso) a degli indirizzi IP sconosciuti per lo più stranieri (qualcuno italiano, di tele 2 per la precisione...lo so perché anch'io uso Tele 2).
Ho provato ad aprirli con firefox (e quindi a stabilire una connessione in uscita sulla porta 80) e 1 di essi (quello di tele 2 tanto per intenderci) ha risposto con un form di login (la pagina di accesso di un router)...questo lascia pensare che non sia un server, bensì il computer di una persona normale..
Aggiungo intoltre che uno di essi ha scambiato 17 MB di traffico col mio computer...mi devo preoccupare?
Al momento ho un problema con wireshark e non potrei controllare più a fondo la situazione..in attesa di risolverlo sarei grato a chiunque mi aiutasse a fare luce sulla situazione.

Saluti,
Marco

xcdegasp

18-10-2008, 12:41

magari stavi usando un fosftware p2p che per loro natura nella gestione delle fonti fanno uso di ping che appunto transitano attraverso il servizio svchost e chiamano la porta remota aperta del client da raggiungere :)

certo che abilitare la login al router da remoto non è che sia una gran cosa, contento lui contenti tutti...

sh4rk_89

18-10-2008, 13:25

xcdegasp

18-10-2008, 16:16

La faccia del ping :) 17 MB...dev'essere un ping intensivo... :)
Vabbè, l'ipotesi del ping credo sia da escludere almeno per 2 motivi... la connessione viene identificata come "UDP OUT"..se fosse un PING mi direbbe "Echo request", no?
Del resto su eMule/uTorrent non ci sono connessioni da/verso quegli indirizzi...

Bhè, in effetti una persona che abilità la gestione remota del router sulla porta 80 deve avere delle esigenze moolto particolari..almeno aveva cambiato la password di default :)
non credo esistano esigenze per aprire il pannello del router da remoto :p
credo più un deficit di cultura informatica :)

i ping dovrebbe identificarli come ICMP ;)

non ci sono in emule/torrente quelle comunicazioni perchè appunto sono bloccate da ZA.
17mb è un comunissimo log generato da regole sbagliate che bloccano più del dovuto.

magari aggiungiaoci pure che hai aperto le connessioni parziali tramite patch e abbiamo il quadretto completo :rolleyes:

sh4rk_89

19-10-2008, 07:54

non credo esistano esigenze per aprire il pannello del router da remoto :p
credo più un deficit di cultura informatica :)
Bhè magari doveva farsi aiutare da qualcuno a configurare il router, ma non è questo il punto!! :)

i ping dovrebbe identificarli come ICMP ;)

Nah, ho controllato...non è né "Echo request" né ICMP...la soluzione è: NULLA...i ping non compaiono proprio...

non ci sono in emule/torrente quelle comunicazioni perchè appunto sono bloccate da ZA.
Se una connessione viene bloccata non compare proprio nella finestra principale di comodo...semmai nei log con una X rossa vicino..(in ogni caso, come detto prima, uso Comodo, non Zone alarm).

17mb è un comunissimo log generato da regole sbagliate che bloccano più del dovuto.
Non ti seguo...in ogni caso il problema non sta nelle mie regole, sta in Svchost...voglio capire cosa scambia!!

magari aggiungiaoci pure che hai aperto le connessioni parziali tramite patch e abbiamo il quadretto completo :rolleyes:
No, non l'ho installata...a dire la verità pensavo che non esistesse per Vista..

gabryflash

19-10-2008, 08:36

avevi skype aperto per caso???

xcdegasp

19-10-2008, 23:56

in passato però dovresti aver accosentito ad un programma/servizio di scambiare dati con svchost non ricordi nulla in merito?
in caso di no rimane una sola soluzione:
ESET SysInspector -> Download (http://download.eset.com/download/sysinspector/32/ENU/SysInspector.exe)
doppio click su SysInspector per lanciare il tool - scorri in basso SysInspector - EULA e clicca su I Agree ed attendi pazientemente che SysInspector esegua l'analisi al termine si aprirà l'interfaccia del programma, a questo punto non devi fare altro che cliccare su File - Save Log (per praticità salvalo sul DeskTop) clicca su Yes - Nome file: lascia quello che propone in automatico - Salva come: nel menu a tendina seleziona la prima opzione ovvero Eset SysInspector log (.xml)

sh4rk_89

20-10-2008, 18:01

avevi skype aperto per caso???
Mai usato skype..

in passato però dovresti aver accosentito ad un programma/servizio di scambiare dati con svchost non ricordi nulla in merito?
in caso di no rimane una sola soluzione:
ESET SysInspector -> Download
doppio click su SysInspector per lanciare il tool - scorri in basso SysInspector - EULA e clicca su I Agree ed attendi pazientemente che SysInspector esegua l'analisi al termine si aprirà l'interfaccia del programma, a questo punto non devi fare altro che cliccare su File - Save Log (per praticità salvalo sul DeskTop) clicca su Yes - Nome file: lascia quello che propone in automatico - Salva come: nel menu a tendina seleziona la prima opzione ovvero Eset SysInspector log (.xml)

Credo che tu stia facendo un po' di confusione...
Il firewall di Comodo (così come altri fw) non mi permette di consentire ad un programma di scambiare dati con svchost, al massimo mi consente di impostare le modalità con cui svchost può scambiare dati con internet. C'è un componente di Comodo (Defense+) che potrebbe permettermi di monitorare un comportamento di questo tipo (un programma che cerca di interfacciarsi ad un altro) tuttavia ha un comportamento predefinito per tutti i componenti di windows (svchost, winlogon ecc.) e quindi non richiede un "intervento umano" se si tratta dei suddetti programmi, altrimenti sai che palle dover consentire a tutti i programmi di windows di fare quel che vogliono? Già è fastidioso così com'è...:)
Ad ogni modo proverò il programma che mi hai consigliato, grazie.

@Sirio@

20-10-2008, 20:01

xcdegasp

21-10-2008, 10:02

Credo che tu stia facendo un po' di confusione...
Il firewall di Comodo (così come altri fw) non mi permette di consentire ad un programma di scambiare dati con svchost, al massimo mi consente di impostare le modalità con cui svchost può scambiare dati con internet. C'è un componente di Comodo (Defense+) che potrebbe permettermi di monitorare un comportamento di questo tipo (un programma che cerca di interfacciarsi ad un altro) tuttavia ha un comportamento predefinito per tutti i componenti di windows (svchost, winlogon ecc.) e quindi non richiede un "intervento umano" se si tratta dei suddetti programmi, altrimenti sai che palle dover consentire a tutti i programmi di windows di fare quel che vogliono? Già è fastidioso così com'è...:)
Ad ogni modo proverò il programma che mi hai consigliato, grazie.
svchost è il servizio della connessione internet e dei dns se li hai impostati in locale.. ma quello a cui mi riferivo è che se fosse un infezxione ad aver mutato il file svchost.exe (ostituendolo con copia contraffatta o iniettandoci codice malevolo) questo lo avresti notato da pop-up di comodo-firewall a cui avresti potuto rispondere yes.

eset sysinspector bella scansione fotografa il tuo pc, se provi a guardare i risultati potresti già farti un idea, se non sai cosa guardare e come guardare e lo vedi come un ammasso di cose inutili allora è il caso che lo pubblichi così possiamo dirti s c'è qualcosa di anomalo.
più di questo non possiamo fare nulla non possedendo la sfera di cristallo :)

sh4rk_89

21-10-2008, 10:24

Ciao Marco,
non so da cosa potrebbe dipendere la richiesta, però a priori negherei tutte le connessioni di svchost da, e verso IP sconosciuti... poi, 17 MB di traffico :stordita: "che se saranno detti" :D

come faccio a bloccarlo visto che è un componente fondamentale di windows?

@Sirio@

21-10-2008, 10:32

come faccio a bloccarlo visto che è un componente fondamentale di windows?

:)
Ma io non ti ho detto di bloccarlo, ti ho suggerito di bloccare solo le connessioni con gli IP sconosciuti.

sh4rk_89

21-10-2008, 13:18

:)
Ma io non ti ho detto di bloccarlo, ti ho suggerito di bloccare solo le connessioni con gli IP sconosciuti.

Detto in altre parole, impedirgli l'accesso ad internet...

gabryflash

21-10-2008, 15:58

Mai usato skype..

bersaglio mancato ma avevo pensato che siccome spesso chi ha una banda adsl dui qualità ed usa skype funge da nodo di supporto a chi a meno banda ..facendo 2 (svocht è servizio di connessione internet) + 2 (continue connessioni internet) che magari potevi essere un nodfo inconsapevole ... :)

riazzituoi

21-10-2008, 17:03

@Sirio@

21-10-2008, 22:26

Detto in altre parole, impedirgli l'accesso ad internet...

Per essere sicuri non sarebbe una cattiva idea imo.. :D

Purtroppo, come sappiamo svchost.exe ha bisogno di connettersi ad internet, per esempio quando si aggiorna il SO, però gli IP di Microsoft sono conosciuti e poi in questo caso sai che le connessioni che ti chiede, sono relative agli aggiornamenti, quindi li puoi consentire. (Tralasciando che l'applicazione chiede la connessione verso gli IP Microsoft anche quando winupdate è disattivato... ma questa è un'altra cosa.)
Il discorso è sicuramente complesso... detto in due parole, imo dovresti consentire le connessioni interne, local network (127.0.0.1 - 127.255.255.255) e la tua LAN, poi DHCP su porta 67 e 68, verso i DNS su porta 53 (primario e alternativo), se servono anche i server WINS su porta 137 come anche UPnP su porta 1900, ahh, anche su porta 123 verso Microsoft per la sicronizzazione dell'orologio... per il resto, in questo momento non mi vengono in mente altre connessioni di cui puoi avere bisogno, ergo, le altre richieste le puoi benissimo negare, almeno in un primo momento, finché non hai capito di cosa si tratta.
Tutto questo IMHO naturalmente, anche perché non sono un esperto, però è un pò di tempo che cerco di capire le misteriose connessioni di svchost, e per la mia esperienza ho notato che facendo così non ho problemi.

Spero di esserti stato d'aiuto.
Saluti. :)

xcdegasp

22-10-2008, 00:08

(127.0.0.1 - 127.255.255.255)
127.0.0.1 identifica il proprio pc localmente ma i pc della lan hanno ben altri ip :)

@Sirio@

22-10-2008, 10:00

127.0.0.1 identifica il proprio pc localmente ma i pc della lan hanno ben altri ip :)

Si degasp, questo lo so, infatti ho scritto: "e la tua LAN". Come per dire: "+ la tua LAN".

In effetti, non si capisce bene, per local network intendo la loopback zone e non la Local Area Network.

Ciao :)

xcdegasp

22-10-2008, 11:45

Si degasp, questo lo so, infatti ho scritto: "e la tua LAN". Come per dire: "+ la tua LAN".

In effetti, non si capisce bene, per local network intendo la loopback zone e non la Local Area Network.

Ciao :)

intebdevo dire che è sbagliato il contenuto di quella parentesi tonda :)

@Sirio@

22-10-2008, 12:33

intebdevo dire che è sbagliato il contenuto di quella parentesi tonda :)

:confused:
Non credo. Perché dici che è sbagliato?

xcdegasp

22-10-2008, 13:10

per il fatto che 127.255.255.255 non identifica nulla :)

@Sirio@

22-10-2008, 13:29

per il fatto che 127.255.255.255 non identifica nulla :)

http://en.wikipedia.org/wiki/Classful_network ;)

xcdegasp

22-10-2008, 14:47

forse non ci stiamo capendo, provo a proporti questa domanda:
sai cosa significa Localhost Loopback Address e come si utilizza in ambito pratico?
si riferisce a una macchina logica o ad una lan formulata da macchine logiche?

la domanda è solo a scopo di dialogo e non voglio innescare dibattiti o diatribe, solo definire un approdo da cui poi analizzare il nocciolo 127.0.0.0 - 127.255.255.255 :)

sh4rk_89

22-10-2008, 15:00

Per essere sicuri non sarebbe una cattiva idea imo.. :D

Purtroppo, come sappiamo svchost.exe ha bisogno di connettersi ad internet, per esempio quando si aggiorna il SO, però gli IP di Microsoft sono conosciuti e poi in questo caso sai che le connessioni che ti chiede, sono relative agli aggiornamenti, quindi li puoi consentire. (Tralasciando che l'applicazione chiede la connessione verso gli IP Microsoft anche quando winupdate è disattivato... ma questa è un'altra cosa.)
Il discorso è sicuramente complesso... detto in due parole, imo dovresti consentire le connessioni interne, local network (127.0.0.1 - 127.255.255.255) e la tua LAN, poi DHCP su porta 67 e 68, verso i DNS su porta 53 (primario e alternativo), se servono anche i server WINS su porta 137 come anche UPnP su porta 1900, ahh, anche su porta 123 verso Microsoft per la sicronizzazione dell'orologio... per il resto, in questo momento non mi vengono in mente altre connessioni di cui puoi avere bisogno, ergo, le altre richieste le puoi benissimo negare, almeno in un primo momento, finché non hai capito di cosa si tratta.
Tutto questo IMHO naturalmente, anche perché non sono un esperto, però è un pò di tempo che cerco di capire le misteriose connessioni di svchost, e per la mia esperienza ho notato che facendo così non ho problemi.

Spero di esserti stato d'aiuto.
Saluti. :)

Veramente per gli aggiornamenti c'è un programma apposta (winupdate appunto)..in effetti svchost si collega ogni tanto al sito della micrsoft, ma chissà cosa scambia...

svchost è il servizio della connessione internet e dei dns se li hai impostati in locale.. ma quello a cui mi riferivo è che se fosse un infezxione ad aver mutato il file svchost.exe (ostituendolo con copia contraffatta o iniettandoci codice malevolo) questo lo avresti notato da pop-up di comodo-firewall a cui avresti potuto rispondere yes.

eset sysinspector bella scansione fotografa il tuo pc, se provi a guardare i risultati potresti già farti un idea, se non sai cosa guardare e come guardare e lo vedi come un ammasso di cose inutili allora è il caso che lo pubblichi così possiamo dirti s c'è qualcosa di anomalo.
più di questo non possiamo fare nulla non possedendo la sfera di cristallo

Non a caso ho specificato che il file "svchost" in questione è quello originale all'inizio del primo post :D

Ad ogni modo, sysinspector non mi dice niente di nuovo...non so se hai mai usato comodo, ma da delle informazioni sufficientemente dettagliate sulle connessioni..

Vedrò di risolvere la questione impostando delle regole più restrittive, in attesa di capirci qualcosa di piu'..

xcdegasp

22-10-2008, 15:53

Ad ogni modo, sysinspector non mi dice niente di nuovo...non so se hai mai usato comodo, ma da delle informazioni sufficientemente dettagliate sulle connessioni..

Vedrò di risolvere la questione impostando delle regole più restrittive, in attesa di capirci qualcosa di piu'..

sysinspector ti dice chiavi associate a un file, a che servizio si riferisce e interazioni con altri servizi file e porte di comunicazione, io gli dedicherei un po' di studio da parte tua non sia mai che emergesse qualcosa che hai trascurato con una breve e veloce occhiata :)

@Sirio@

22-10-2008, 15:53

forse non ci stiamo capendo,[...]

Però tu non ti stai sforzando molto per farmi capire, invece di propormi domande, perché non mi spieghi queste tue affermazioni?

intebdevo dire che è sbagliato il contenuto di quella parentesi tonda :)

per il fatto che 127.255.255.255 non identifica nulla :)

Poi magari mi fai le domande...:)

@Sirio@

22-10-2008, 16:10

Veramente per gli aggiornamenti c'è un programma apposta (winupdate appunto)

In che senso c'è un programma apposta? Non ho capito, potresti spiegarmi?

..in effetti svchost si collega ogni tanto al sito della micrsoft, ma chissà cosa scambia...
[...]

Vallo a sapere, come ti dicevo prima, blocco tutto quello che non è richiesto.

Questo che hai quotato non l'ho scritto io:

svchost è il servizio della connessione internet e dei dns se li hai impostati in locale.. ma quello a cui mi riferivo è che se fosse un infezxione ad aver mutato il file svchost.exe (ostituendolo con copia contraffatta o iniettandoci codice malevolo) questo lo avresti notato da pop-up di comodo-firewall a cui avresti potuto rispondere yes.

eset sysinspector bella scansione fotografa il tuo pc, se provi a guardare i risultati potresti già farti un idea, se non sai cosa guardare e come guardare e lo vedi come un ammasso di cose inutili allora è il caso che lo pubblichi così possiamo dirti s c'è qualcosa di anomalo.
più di questo non possiamo fare nulla non possedendo la sfera di cristallo :)

sh4rk_89

22-10-2008, 17:51

In che senso c'è un programma apposta? Non ho capito, potresti spiegarmi?

Vallo a sapere, come ti dicevo prima, blocco tutto quello che non è richiesto.

Questo che hai quotato non l'ho scritto io:

Bhè, da quello che ho capito è winupdate che si occupa degli aggiornamenti. C'è un servizio (che quindi coinvolge svchost) che si occupa di cadenzare il controllo degli aggiornamenti, ma il controllo viene fatto comunque da winupdate...

Torno a dire che SysInspector non mi dice niente..
Cioè, assodato che svchost si occupa dei servizi di windows...a questo punto rimarrebbe da capire quale servizio effettua le connessioni.
SysInspector non mi da queste informazioni..mi dice solo che c'è questa connessione e che è stato svchost ad aprirla.

Cmq credo che xcdegasp volesse dire che nella fattispecie 127.255.255.255 non serve a niente... cioè, magari esiste a livello teorico ma l'indirizzo di loopback è 127.0.0.1, gli altri nel range 127.0.0.1-127.255.255 non vengono utilizzati (e io personalmente non li ho mai visti)..sbaglio?

@Sirio@

22-10-2008, 19:15

Bhè, da quello che ho capito è winupdate che si occupa degli aggiornamenti. C'è un servizio (che quindi coinvolge svchost) che si occupa di cadenzare il controllo degli aggiornamenti, ma il controllo viene fatto comunque da winupdate...

:what: Scusami, vorrei approfondire: Nel mio PC quando attivo winupdate l'applicazione che mi chiede la connessione è svchost, come anche se vado a scaricarmi manualmente gli aggiornamenti dal sito. A te non è così?
Nella configurazione di Comodo, tu hai la regola predefinita per gli aggiornamenti di Windows che CFP3 crea al momento dell'installazione?

[...]
Cmq credo che xcdegasp volesse dire che nella fattispecie 127.255.255.255 non serve a niente... cioè, magari esiste a livello teorico ma l'indirizzo di loopback è 127.0.0.1, gli altri nel range 127.0.0.1-127.255.255 non vengono utilizzati (e io personalmente non li ho mai visti)..sbaglio?

No, non sbagli. :)

xcdegasp

23-10-2008, 01:15

Però tu non ti stai sforzando molto per farmi capire, invece di propormi domande, perché non mi spieghi queste tue affermazioni?

Poi magari mi fai le domande...:)

il localhost (tradotto macchina locale) è identificata dal ip convenzionale 127.0.0.1 inquanto si riferisce alla macchina fisica su cui è installato il sistema operativo.
un server però può ospitare più macchine locali contemporaneamente e in questo contesto possono avere valore i range 127.0.0.1-127.255.255 inquanto ciasc'un IP identifica una macchina ospite differente ma sempre e solo residente nella stessa macchina fisica.

in parole semplici è come se nel tuo pc tu avviassi 3 macchine virtuali, la macchina fisica avrebbe 127.0.0.1 mentre le altre 3 avrebbero i progressivi 127.0.0.2/3/4

ovviamente il riferimento a macchine virtuali è solo per rendere il concetto perchè qui non si tratta di virtualizzare sopra ad un sistema operativo, bensì coesistere più sistemi operativi avviati insieme con alla base il solo hardware.
quindi per questo motivo dicevo che non identifica nulla in lan perchè rimane strettamente vincolato alla macchina fisica e in lan avranno l'ip essagnato dal router o gateway ossia 192.x.x.x :)

gavel

23-10-2008, 11:27

il localhost (tradotto macchina locale)

Come, @ sirio@ e uno che impara in fretta, lo fara anche con questo, sono sicuro.. ;)

@Sirio@

23-10-2008, 12:34

:D
...ci provo..;)

@Sirio@

23-10-2008, 12:36

il localhost (tradotto macchina locale) è identificata dal ip convenzionale 127.0.0.1 inquanto si riferisce alla macchina fisica su cui è installato il sistema operativo.
un server però può ospitare più macchine locali contemporaneamente e in questo contesto possono avere valore i range 127.0.0.1-127.255.255 inquanto ciasc'un IP identifica una macchina ospite differente ma sempre e solo residente nella stessa macchina fisica.

in parole semplici è come se nel tuo pc tu avviassi 3 macchine virtuali, la macchina fisica avrebbe 127.0.0.1 mentre le altre 3 avrebbero i progressivi 127.0.0.2/3/4

ovviamente il riferimento a macchine virtuali è solo per rendere il concetto perchè qui non si tratta di virtualizzare sopra ad un sistema operativo, bensì coesistere più sistemi operativi avviati insieme con alla base il solo hardware.
quindi per questo motivo dicevo che non identifica nulla in lan perchè rimane strettamente vincolato alla macchina fisica e in lan avranno l'ip essagnato dal router o gateway ossia 192.x.x.x :)

Grazie mod, molto gentile :)

Quindi non è esatto dire che quello tra le parentesi tonde (127.0.0.1 - 127.255.255.255) è sbagliato, poiché tutti quelli compresi nel range fanno parte comunque degli indirizzi di loopback, però nel caso di una di una macchina fisica con un solo sistema operativo avviato, l'unico indirizzo di loopback utilizzato è 127.0.0.1, giusto?

xcdegasp

23-10-2008, 14:48

Grazie mod, molto gentile :)

Quindi non è esatto dire che quello tra le parentesi tonde (127.0.0.1 - 127.255.255.255) è sbagliato, poiché tutti quelli compresi nel range fanno parte comunque degli indirizzi di loopback, però nel caso di una di una macchina fisica con un solo sistema operativo avviato, l'unico indirizzo di loopback utilizzato è 127.0.0.1, giusto?

esatto, ma sempre e solo valevole in locale su quella macchina lì, non è richiamabile dall'esterno o usabile attraverso la lan :)

@Sirio@

24-10-2008, 20:00

esatto, ma sempre e solo valevole in locale su quella macchina lì, non è richiamabile dall'esterno o usabile attraverso la lan :)

Molto chiaro.. ti ringrazio ancora. :)

sh4rk_89

25-10-2008, 15:06

:what: Scusami, vorrei approfondire: Nel mio PC quando attivo winupdate l'applicazione che mi chiede la connessione è svchost, come anche se vado a scaricarmi manualmente gli aggiornamenti dal sito. A te non è così?
Nella configurazione di Comodo, tu hai la regola predefinita per gli aggiornamenti di Windows che CFP3 crea al momento dell'installazione?

No, non sbagli. :)

Bhè, ho motivo di credere questo perché una volta provai a bloccare completamente svchost (tranne la porta 53) e il computer continuava ad aggiornarsi...
P.S.: scusa il ritardo nel rispondere ma non posso connettermi quando voglio...

@Sirio@

26-10-2008, 18:45

Bhè, ho motivo di credere questo perché una volta provai a bloccare completamente svchost (tranne la porta 53) e il computer continuava ad aggiornarsi...
P.S.: scusa il ritardo nel rispondere ma non posso connettermi quando voglio...

Non hai motivo di scusarti. :)

Se blocchi svchost (sul serio), il SO non può aggiornarsi. :sofico:

Poi:

[...]
Nella configurazione di Comodo, tu hai la regola predefinita per gli aggiornamenti di Windows che CFP3 crea al momento dell'installazione?

[...]

Se hai quella regola, il firewall di CFP3 non ti fa nessuna domanda riguardo agli aggiornamenti.

sh4rk_89

31-10-2008, 16:32

Non hai motivo di scusarti. :)

Se blocchi svchost (sul serio), il SO non può aggiornarsi. :sofico:

Giudica tu stesso:

http://img66.imageshack.us/img66/879/immagineue7.th.jpg (http://img66.imageshack.us/my.php?image=immagineue7.jpg)
Queste sono le regole.

http://img66.imageshack.us/img66/5715/windowsupdatezc4.th.jpg (http://img66.imageshack.us/my.php?image=windowsupdatezc4.jpg)
Il computer è stato aggiornato oggi. Le regole sono attive da una settimana.

Se hai quella regola, il firewall di CFP3 non ti fa nessuna domanda riguardo agli aggiornamenti.

Non c'è nessuna regola predefinita!
Le regole predefinite di cui parlavo prima si riferivano alla componente Defense+ di comodo che al momento è disabilitata (e ad ogni modo non fa parte del firewall!).