在虛擬化環境盛行的今天，傳統網路型入侵偵測/防禦系統 (NIDS/NIPS) 難以有效覆蓋虛擬機間的東西向流量。本文針對「防禦軟體無法正常安裝」及「RPC 高危埠 (135/137/139/445/593 等) 暴露」問題，提供基於 Windows 本地 IPsec 策略的硬核防護方案，無需額外安裝第三方 Agent，即刻生效。
一、問題背景：為何傳統防禦失效？
- 虛擬網路盲區：物理 NIPS 無法檢視 Hypervisor 內部 vSwitch 流量，虛擬機間橫向移動攻擊隱形化。
- 資源搶佔：主機型 IDS (HIDS) 在虛擬機運行時搶佔 CPU/記憶體，影響業務效能，甚至導致防禦軟體安裝失敗、服務異常。
- RPC 埠長期暴露：Windows 預設開啟 TCP 135 (RPC Endpoint Mapper)、139/445 (SMB)、593 (HTTP RPC) 等高危埠，歷代蠕蟲 (Blaster, Sasser, WannaCry) 均利用此攻擊面。
二、解決方案：本地 IPsec 策略封鎖高危埠
利用 Windows 內建「IP 安全性原則」，在核心層攔截惡意連線，不消耗應用層資源，相容性極佳。
步驟 1：建立自訂 IP 安全性原則
- 開啟
secpol.msc (本地安全性原則) → IP 安全性原則，在本機電腦 → 右鍵空白處 → 建立 IP 安全性原則。
- 命名 (如
Block_HighRisk_Ports) → 下一步 → 取消勾選「啟用預設回應規則」 → 完成。
步驟 2：新增封鎖規則與篩選器
- 右鍵新建原則 → 內容 → 取消「使用新增精靈」 → 新增 規則。
- 在「新規則屬性」→ IP 篩選器清單 → 新增 篩選器 (取消精靈)。
- 篩選器屬性 設定：
- 位址：來源 =
任何 IP 位址，目的地 = 我的 IP 位址。
- 通訊協定：
TCP → 目的埠 135 (RPC)。
- 重複上述動作，依序新增下列埠號篩選器：
- TCP：137, 139, 445, 593, 1025, 2745, 3127, 6129, 3389 (RDP)
- UDP：135, 139, 445
步驟 3：定義「封鎖」動作並啟用
- 回到「新規則屬性」→ 選中新建的 IP 篩選器清單 → 篩選器動作 分頁。
- 新增動作 → 命名
Block → 安全性方法 選 封鎖 → 確定。
- 回到原則清單，右鍵新原則 → 指派，即刻生效。
三、驗證與維運建議
- 測試：從外部機器執行
telnet <目標IP> 135 / 445，應顯示連線失敗/逾時。
- 例外處理：若內部管理工具 (如 SCCM、備份軟體) 需存取特定埠，可在同一原則中新增 允許 規則並置於封鎖規則之上 (優先序更高)，來源限定為管理伺服器 IP。
- 群組原則推送：企業環境建議將此 IPsec 原則封裝為 GPO，統一下發至全網端點，實現「一次配置、全網生效」。
- 審計模式：正式啟用前，可先將動作設為 協商安全性 (不封鎖)，觀察安全性事件日誌 (Event ID 547/548) 確認誤攔情況。
四、進階防護：結合 Windows 防火牆與攻擊面縮減
IPsec 屬於核心層防護，建議疊加以下措施構建纵深防御：
- Windows 防火牆：啟用「公用」設定檔預設封鎖所有輸入，僅開放業務必要埠。
- 停用非必要服務：
Server (LanmanServer)、Remote Registry 等若非必須請停用並設為手動。
- 修補程式管理：確保 MS17-010、MS08-067 等關鍵修補程式已部署。
透過「核心層 IPsec 封鎖 + 應用層防火牆精準放行 + 服務縮減 + 修補程式修補」四層防線，可將 Windows 主機攻擊面壓縮至最小，有效解決防禦軟體安裝衝突與高危埠暴露雙重難題。