核心邏輯：端口 = 服務的網絡入口，關端口 = 禁服務/阻斷連接/過濾封包

個人電腦/服務器預設開放大量端口 (135, 139, 445, 3389 等)，成為蠕蟲病毒 (震盪波、衝擊波、永恆之藍)、勒索軟體、側向移動的主要攻擊面。三層防禦由內而外：

1. 源頭消除：禁用不需要的服務 → 端口自然不監聽。
2. 主機過濾：Windows 防火牆 / IPSec 策略 / WFP 調用層阻斷進出封包。
3. 網絡邊界：路由器/硬件防火牆/安全組 封鎖高危端口對公網暴露。

層級一：服務管理器禁用高危服務 (源頭治理)

services.msc → 找到服務 → 啟動類型 = 禁用 → 停止服務。

層級二：禁用 NetBIOS over TCP/IP (關閉 137/138/139)

1. 控制面板 → 網絡連接 → 右鍵連接 → 屬性 → Internet 協議版本 4 (TCP/IPv4) → 屬性 → 進階 → WINS 頁籤。
2. 勾選 「禁用 TCP/IP 上的 NetBIOS」 → 確定全出。
3. 效果：137/138/139 端口消失，消除 NetBIOS 名稱解析/會話攻擊面。

層級三：IPSec 策略 / Windows 防火牆高級安全 封鎖特定端口 (深度防禦)

適用 WinXP/2003/Vista/7/8/10/11/Server 全系 (IPSec 策略在 XP/2003 稱「IP 安全策略」，Vista+ 合併入「高級安全 Windows 防火牆」)。

IPSec 策略圖文構建流程 (XP/2003 經典路徑，Vista+ 邏輯相同)

1. secpol.msc → IP 安全策略 (本地計算機) → 右鍵空白處 → 創建 IP 安全策略 → 向導：下一步 → 下一步 → 取消勾選「激活默認回應規則」 → 完成。
2. 右鍵新策略 → 屬性 → 取消「使用添加嚮導」 → 添加 新規則。
3. 新規則屬性 → 添加 → IP 篩選器列表 → 取消「使用添加嚮導」 → 添加 篩選器。
4. 篩選器屬性：
    源地址：任何 IP 地址
    目標地址：我的 IP 地址
    協議類型：TCP (或 UDP)
    「到此端口」：輸入目標端口 (如 135) → 確定。
5. 重複步驟 3-4 添加所有需封鎖端口：
    TCP：135, 139, 445, 593, 1025, 2745, 3127, 6129, 3389
    UDP：135, 137, 138, 445
6. 回到「新規則屬性」 → 篩選器操作 頁籤 → 取消嚮導 → 添加 → 名稱「Block」 → 安全方法 頁籤 → 選 「阻止」 → 確定。
7. 勾選新建的「Block」操作 → 關閉對話框 → 策略屬性勾選新 IP 篩選器列表 → 確定。
8. 回到「IP 安全策略」窗口 → 右鍵新策略 → 指派 → 圖標變綠色圓點 = 生效。
9. 重啟系統 (或 gpupdate /force) 使策略完全生效。

現代 Windows (Vista+) 推薦：高級安全 Windows 防火牆 (WFAS)

1. wf.msc → 入站規則 → 新建規則 → 端口 → TCP → 特定本地端口：135,139,445,3389,2745,3127,6129 → 阻止連接 → 所有設定檔 (域/專用/公用) → 命名「Block High-Risk Ports」。
2. 同理建立 出站規則 阻止主動連接惡意 C2 端口 (可選)。
3. PowerShell 一鍵腳本 (管理員)：
   @(135,139,445,3389,2745,3127,6129) | % { New-NetFirewallRule -DisplayName "Block TCP $_" -Direction Inbound -Protocol TCP -LocalPort $_ -Action Block -Profile Any -Enabled True }

驗證與維護

• netstat -ano | findstr ":135 :139 :445 :3389" — 確認端口狀態為 LISTENING 消失 / TCP 連接被阻斷。
• nmap -sS -p 135,139,445,3389 <本機IP> — 外部掃描驗證端口關閉/過濾。
• 定期審計 services.msc、防火牆規則、IPSec 策略，防軟件安裝/更新悄悄重啟服務/打開端口。

特別提醒

• TCP 135 (RPC) 僅靠防火牆/IPSec 封鎖，不可禁用服務 (系統會掛)。
• 域環境下 GPO 下發防火牆/IPSec 策略** 統一管控，避免單機配置漂移。
• 開放 3389 遠程桌面**必須**配合：
   - 僅允許跳板機/管理網段 IP 訪問 (防火牆作用域)。
   - 強制 NLA (網絡級身份驗證)。
   - 啟用 RDP 憑證/智能卡認證。
   - 修改默認端口 (非標準高位端口) + 端口敲門。
   - 部署 RD Gateway / VPN / Zero Trust (Tailscale/Cloudflare Access) 代替直接暴露。

端口	服務名 (顯示名)	功能	建議
TCP 135	RPC Endpoint Mapper (RpcSs)	DCOM/RPC 動態端口分配	**不可禁用** (系統核心)，改用防火牆限制訪問源
TCP 139	Server (LanmanServer)	文件/打印共享 (NetBIOS over TCP/IP)	非文件共享環境 → 禁用 Server 服務 + 禁用 NetBIOS over TCP/IP
TCP 445	Server (LanmanServer)	SMB 直接託管 (現代文件共享)	同 139，禁用 Server 服務關閉 139/445
TCP 3389	Remote Desktop Services (TermService)	遠程桌面 (RDP)	非遠程管理需求 → 禁用；必須開放 → 僅允許特定 IP + NLA + 強密碼/憑證
TCP 21	FTP Publishing Service (MSFTPSVC)	IIS FTP	不用 IIS FTP → 禁用
TCP 80/443	World Wide Web Publishing (W3SVC)	IIS HTTP/HTTPS	非 Web 服務器 → 禁用
TCP 25	Simple Mail Transfer Protocol (SMTPSVC)	SMTP 郵件傳送	非郵件服務器 → 禁用
TCP 23	Telnet (TlntSvr)	明文遠程登錄	**永久禁用** (極高風險)，改用 SSH
TCP/UDP 137/138	NetBIOS Name/Datagram	NetBIOS 廣播/解析	禁用 NetBIOS over TCP/IP (見下文)