幾乎所有入侵始於掃描。攻擊者先探存活、再枚舉端口、再匹配漏洞、最後投遞載荷。若能在「掃描偵察」階段使攻擊者「看不見、摸不著、判斷失誤」，即可將 90% 以上攻擊攔截在門外。本文從工具原理、端口收斂、蜜罐欺騙三個維度，構建局域網主動防御體系。

一、 知己知彼：主流掃描工具與協議弱點

二、 防掃描核心原理：拒絕回應 + 主動欺騙

1. 禁止 ICMP 回應（隱身術）

# Windows 防火牆高級設置 → 入站規則 → 新建規則 → 自定義 → 協議類型 ICMPv4 → 阻止連接
# 或命令行
netsh advfirewall firewall add rule name="Block ICMPv4" protocol=icmpv4:8,any dir=in action=block

效果：攻擊者 Ping 掃描無回應，誤判主機離線；Nmap 加 -Pn 強制掃描時速度大幅下降，增加偵察成本。

2. 部署蜜罐/蜜網欺騙（主動誘捕）

• 低交互蜜罐：Honeyd、Cowrie（SSH/Telnet 模擬）、Dionaea（SMB/HTTP/FTP 模擬），部署在非業務 IP 段，誘捕自動化蠕蟲、掃描器。
• 高交互蜜罐：真實系統加固後暴露，部署全流量捕獲、行為分析、威脅情報聯動。
• 蜜罐令牌：在文件服務器、數據庫、代碼倉庫植入偽造憑證/配置文件/API Key，一旦被訪問/使用即觸發告警。

三、 端口收斂實戰：白名單制最小化攻擊面

1. 服務級關閉（黑名單思維，適用服務器）

路徑：控制面板 → 管理工具 → 服務。停用並設置「禁用」：

• FTP 服務（21/TCP，改用 SFTP/FTPS）
• DNS 服務（53/UDP/TCP，非授權 DNS 服務器禁用）
• IIS Admin / WWW 服務（80/443，非 Web 服務器禁用）
• Remote Registry（遠程注冊表，極高風險）
• Print Spooler（印表機漏洞高發區，非打印服務器禁用）
• SMBv1（445/TCP，永恆之藍利用鏈首環，必須禁用）

2. TCP/IP 篩選/Windows 防火牆白名單（白名單思維，最強）

# 僅允許業務必需端口，其餘全部拒絕
# 示例：僅開放 RDP(3389)、HTTP(80)、HTTPS(443)、自定義業務端口
netsh advfirewall set allprofiles firewallpolicy blockinbound,allowoutbound
netsh advfirewall firewall add rule name="Allow RDP" dir=in protocol=TCP localport=3389 action=allow
netsh advfirewall firewall add rule name="Allow HTTP" dir=in protocol=TCP localport=80 action=allow
netsh advfirewall firewall add rule name="Allow HTTPS" dir=in protocol=TCP localport=443 action=allow
# 其餘端口隱式拒絕

原則：不知曉用途的端口一律關閉；業務變更時同步更新規則，建立變更管理流程。

四、 進階加固清單（清單式落地）

1. 網絡層：核心交換機啟用 DHCP Snooping、DAI (Dynamic ARP Inspection)、IP Source Guard、Port Security（綁定 MAC+VLAN+端口）、BPDU Guard、Root Guard。
2. 主機層：啟用 Windows Defender Application Control (WDAC)/AppLocker 白名單、開啟 Exploit Guard (ASR 規則)、配置 Attack Surface Reduction (ASR) 規則阻擋 Office/腳本/郵件載荷。
3. 賬號層：禁用默認 Administrator/Guest、強制長密碼+鍵盤模式/硬件密鑰、本地管理員組最小化、LAPS 管理本地管理員密碼輪換。
4. 審計層：開啟「審核登錄事件」「審核進程創建」「審核特權使用」，日志轉發至 SIEM，關聯分析異常登錄、横向移動、權限提升。
5. 應急層：編寫《局域網入侵應急響應手冊》，定期桌面推演、紅藍對抗演練。

結語：局域網安全無絕對防線，唯有「拒絕偵察+最小暴露+主動欺騙+持續監測+快速響應」的動態平衡。從關閉一個無用端口、屏蔽一個 ICMP 回應開始，構建屬於你的纖深防御體系。