Windows 預設開放大量網路埠 (135/RPC、139/445/SMB、3389/RDP 等)，這些合法服務埠同時也是蠕蟲 (WannaCry、EternalBlue)、勒索軟體、掃描器、暴力破解的首選目標。本文提供基於 IPsec 政策 (Windows XP/2000/2003/2008/10/11 通用) 與 DCOM 設定的雙重封鎖方案，將未授權存取拒之門外。

方案一：IPsec 本地安全策略封鎖高危埠 (全版本通用)

原理：建立 IP 安全策略，定義「阻止」篩選器動作，匹配特定協定/埠/方向的封包，在核心層丟棄，不消耗應用層資源。

高危埠清單 (建議全盤封鎖輸入，視業務放行輸出)

協定	埠號	服務/風險	建議動作
TCP	135	RPC/DCOM (MS03-026 Blaster、MS08-067 Conficker)	封鎖輸入
TCP	139	NetBIOS Session (空連接枚舉、SMB Relay)	封鎖輸入
TCP	445	SMB 直通 (EternalBlue/MS17-010、勒索蠕蟲首選)	封鎖輸入 (內網信任區可放行)
TCP	593	HTTP RPC (RPC over HTTP)	封鎖輸入
TCP	1025	RPC 動態埠起始 (早期版本)	封鎖輸入
TCP	2745, 3127, 6129	Bagle/MyDoom/Beagle 後門常用埠	封鎖輸入
TCP	3389	RDP (暴力破解、藍屏 CVE-2019-0708 BlueKeep、CVE-2022-21893)	非管理必要嚴禁暴露公網；改用 VPN/堡壘機/跳板機
UDP	135	RPC 端點對應器	封鎖輸入
UDP	137, 138	NetBIOS Name/Datagram (枚舉、放大反射)	封鎖輸入
UDP	445	SMB over UDP (稀少但可被濫用)	封鎖輸入

圖形化建立步驟 (以 Windows 10/11/Server 2016+ 為例)

1. 執行 secpol.msc (本地安全策略) → IP 安全性原則 → 右鍵 建立 IP 安全性原則 → 命名 (如 Block_High_Risk_Ports) → 下一步 → 取消勾選「啟用預設回應規則」 → 完成。
2. 右鍵新建策略 → 內容 → 取消勾選「使用精靈」 → 新增 規則。
3. IP 篩選器清單 → 新增 → 取消勾選「使用精靈」 → 新增 篩選器：

篩選器名稱: Block_TCP_135
描述: Block inbound TCP 135 (RPC)
鏡像: 是 (雙向匹配，此處僅需輸入方向，但鏡像簡化配置)
來源位址: 任何 IP 位址
目的位址: 我的 IP 位址
協定類型: TCP
來源埠: 任何
目的埠: 135

4. 重複上述步驟分別建立所有高危埠的篩選器 (TCP 139、445、593、1025、2745、3127、6129、3389、UDP 135、137、138、445)。
5. 所有篩選器建立完成後，回到「IP 篩選器清單」對話框，確認清單包含所有篩選器 → 確定。
6. 篩選器動作 標籤 → 新增 → 名稱 Block → 「安全性方法」選 阻止 → 確定。回到規則屬性，選擇此 Block 動作。
7. 回到「IP 安全性原則」視窗，右鍵新建策略 → 指派 (核取方塊打勾)。
8. 立即生效：命令提示字元 (管理員) 執行 gpupdate /force 或重啟電腦。

方案二：Windows Server 2008+ 專用 — 關閉 RPC/DCOM 核心機制 (徹底根除 135 埠風險)

IPsec 封鎖埠口屬於「症狀治療」，若服務本身不啟動更徹底。135 埠由 RPC 端點對應器 (RPCSS) 開啟，支援 DCOM 遠程物件激活。若不需分散式 COM 功能，可直接關閉：

1. 執行 dcomcnfg 開啟「元件服務」。
2. 展開「元件服務」→「電腦」→ 右鍵「我的電腦」→「內容」。
3. 預設內容 標籤：取消勾選 「在這台電腦上啟用分散式 COM」。
4. 預設協定 標籤：選中 「面向連接的 TCP/IP」 → 點擊 移除。
5. 確定 → 重新啟動電腦。驗證：netstat -ano | findstr :135 應無輸出。

影響評估：停用 DCOM 將導致依賴遠程 COM 的舊版應用 (早期 ERP、SCADA、管理代理) 失效。現代應用多改用 Web API/WCF/gRPC/REST，影響面極小。生產環境必須先在測試環境驗證業務相容性。

補充：現代 Windows (10/11/Server 2019+) 更佳替代方案

• Windows Defender 防火牆進階安全性 (WFAS)：wf.msc → 輸入規則 → 新增規則 → 連接埠 → TCP → 特定本地連接埠 (列表) → 封鎖。支援狀態檢測、群組原則部署、日誌記錄、配合 netsh advfirewall export/import 自動化。
• 攻擊面縮減 (ASR) 規則：Block credential stealing from the Windows local security authority subsystem (lsass.exe)、Block process creations originating from PSExec and WMI commands、Block untrusted and unsigned processes that run from USB 等，從行為層面阻斷利用高危埠的後續利用鏈。
• SMB 簽名/加密/壓縮強制：Set-SmbServerConfiguration -RequireSecuritySignature $true -EncryptData $true，防 SMB Relay/中間人。
• RDP 安全強化：僅允許 TLS 1.2+、NLA (網路層級驗證)、RD Gateway/VPN/Just-In-Time VM Access (Azure Bastion) 存取，禁用直接暴露 3389。

驗證與持續監控

• 本地驗證：netstat -ano | findstr "LISTENING" 確認高危埠消失；nmap -sS -p 135,139,445,3389 遠端掃描應顯示 filtered 或 closed。
• 日誌審計：啟用防火牆日誌 (%systemroot%\system32\LogFiles\Firewall\pfirewall.log) 記錄丟棄封包；配合 Windows 事件轉發 (WEF) 集中分析事件 ID 5152 (封包篩選平台封鎖)。
• 定期掃描：Nessus/OpenVAS/內部掃描器每月全埠掃描，確保無新增暴露埠 (新安裝軟體、功能啟用可能開啟新埠)。

封閉埠口是主機強化的基礎動作，但不是終點。結合「服務最小化 (停用/移除不需要服務)」、「協定強化 (SMB 簽名/加密、RDP NLA/TLS)」、「行為防護 (ASR/EDR)」、「零信任存取 (VPN/堡壘機/ZTNA)」，才能構建經得起實戰考驗的主機網路防線。動手配置一次，受益長久安寧。