許多管理員誤以為 Windows 防火牆「太簡單、不夠用」，實則配合進階安全性防火牆 (WFAS)與軟體限制政策 (SRP) / AppLocker，即可零成本構建媲美商用 HIDS 的主機防禦體系。

一、 Windows 防火牆進階配置三部曲

1. 基本設定檔：三大網路位置分層策略

• 網域：加入 AD 後自動套用，較寬鬆（允許群組原則、Kerberos、LDAP、檔案共享）。
• 私人：家庭/辦公室可信網路，允許檔案共享、探索、遠端桌面（僅限子網）。
• 公用：咖啡廳、機場、客戶現場，全封鎖入站，僅允許輸出 DNS/HTTP/HTTPS/VPN。

⚡ 關鍵動作：將「輸出連線」預設改為「封鎖」，再按需放行，防止未知程式偷偷外連。

2. 進階規則：精準控制到進程層級

• 輸入規則：新增規則 → 程式 → 路徑 (如 C:\Program Files\App\app.exe) → 允許連線 → 套用設定檔 → 命名。
• 輸出規則：封鎖 powershell.exe、cmd.exe、wscript.exe、mshta.exe 等系統工具直接外連（僅允許簽名腳本/受管腳本）。
• 連線安全性規則：強制 IPsec 驗證/加密管理流量（RDP、SSH、WinRM、LDAPS）。

3. 監控與日誌：可見性是防禦前提

• 啟用「記錄已捨棄的封包」與「記錄成功的連線」。
• 日誌路徑：%systemroot%\system32\LogFiles\Firewall\pfirewall.log，設定大小上限（如 100 MB）。
• 導入 SIEM 或使用 Get-NetFirewallRule、Get-NetEventSession PowerShell 模組自動化分析。

二、 軟體限制政策 (SRP) / AppLocker：執行控制終極防線

防火牆擋住網路，SRP/AppLocker 擋住惡意代碼在本機執行。

1. SRP (Windows 7/Server 2008 R2 以上全版本可用)

路徑：gpedit.msc → 電腦設定 → Windows 設定 → 安全性設定 → 軟體限制原則。

• 預設安全性層級：設為「不允許」——白名單模式，僅執行明確授權程式。
• 指定路徑規則 (優先級：完整路徑 > 雜湊 > 憑證 > 網路區域)：
  • %WINDIR%\*、%WINDIR%\System32\*、%PROGRAMFILES%\*、%PROGRAMFILES(X86)%\* → 不受限。
  • %APPDATA%\*、%LOCALAPPDATA%\*、%TEMP%\*、%USERPROFILE%\Downloads\*、D:\* (非系統盤) → 不允許。
• 雜湊規則：針對必須執行的無簽名腳本/舊版程式，計算 SHA256 雜湊值加入「不受限」。
• 防禦雙副檔名/偽裝系統檔：
  • 新增路徑規則 *.exe → 不允許（低優先級）。
  • 新增路徑規則 %WINDIR%\System32\svchost.exe → 不受限（高優先級，完整路徑優先）。
  • 同理處理 *.scr、*.pif、*.com、*.bat、*.cmd、*.vbs、*.js、*.wsf。

2. AppLocker (Enterprise/Education/Server 版專屬，功能更強)

• 支援發佈者條件 (數位簽章)：自動信任 Microsoft、Adobe、內部簽章憑證簽署的所有版本，免維護雜湊清單。
• 支援例外規則、稽核模式（僅記錄不阻擋，驗證無誤再強制執行）。
• 規則集可透過群組原則統一部署、版本控管。

3. 實戰技巧：封鎖 USB/可移動裝置執行

SRP 路徑規則新增：E:\*、F:\*、G:\* → 不允許（依實際磁碟機代號調整）。
AppLocker：建立「路徑規則 → 可移動磁碟機 → 拒絕」。

三、 部署建議與避坑指南

1. 先啟用稽核模式 (AppLocker) 或「基本使用者」層級 (SRP)，觀察 1-2 週事件檢視器 Application 和服務記錄 → Microsoft → Windows → AppLocker → EXE 和 DLL，確認無業務中斷再切強制模式。
2. 數位簽章優先：推動內部開發/採購軟體全部簽章，善用發佈者條件減少維護負擔。
3. 系統關鍵路徑保護：%WINDIR%\System32\wbem\WmiPrvSE.exe、%WINDIR%\System32\DllHost.exe 等 COM 伺服器進程需放行，否則服務異常。
4. 文件化與變更管理：每條規則記錄「業務理由、申請人、核准人、建立時間、預計審查時間」。

四、 結語

Windows 內建防火牆 + SRP/AppLocker = 零授權費、原生整合、粒度達進程/簽章、支援群組原則大規模部署。只要投入時間精心調校、持續運營，即可為每台主機穿上「隱形盔甲」，大幅降低惡意代碼落地執行與橫向移動風險。