前言

瑞星防火牆提供IP規則功能，可針對特定協定、連接埠、IP範圍設定允許/阻擋策略。本文以「阻擋Sasser/Blaster蠕蟲利用連接埠 (TCP 3127-3198)」為例，示範新增規則流程，並附贈高危連接埠參考清單供進階防護設定。

新增「阻擋TCP 3127-3198」規則步驟

1. 開啟瑞星防火牆主介面 > 「設定」>「IP規則設定」。

2. 點擊「新增規則」，填寫：
• 規則名稱：`TCP+阻擋Sasser蠕蟲連接埠`
• 協定類型：`TCP`
• 執行動作：`禁止` (阻擋)
• 對方地址：`任意地址`
• 本地地址：`所有地址`
• 對方連接埠：`任意連接埠`
• 本地連接埠：選「連接埠範圍」> 起始 `3127`、結束 `3198`
3. 點擊「確定」儲存，規則立即生效。

高危連接埠/規則參考清單 (建議阻擋/監控)

注意：以下連接埠包含合法服務常用埠，全盤阻擋可能導致正常網路服務中斷 (如遠端桌面3389、資料庫1433、Web 80/443)。請根據實際業務需求，針對「對方地址為外部/非信任區域」設定阻擋，內部信任區域放行。建議搭配應用層防火牆/IDS/IPS進行精細控制。

知名蠕蟲/後門/木馬利用埠

• Sasser/Blaster: 3127-3198
• 遠端控制類: 5000-5005 (需雙向關閉)
• 震盪波: 135, 445 (及相關RPC埠)
• 惡鷹木馬: 8080, 8081, 9999 等
• ICMP攻擊: 封鎖ICMP類型 0/8/11/13/17 (回應/請求/超時/重定向/掩碼請求)

常見服務埠 (視業務決定是否對外開放)

• NetBIOS/SMB: 135, 137, 138, 139, 445
• FTP: 20, 21 | SSH: 22 | Telnet: 23 | SMTP: 25 | DNS: 53 (UDP/TCP)
• HTTP/HTTPS: 80, 443, 8080, 8443 | RDP: 3389
• 資料庫: MySQL 3306, MSSQL 1433, Oracle 1521, PostgreSQL 5432, Redis 6379, MongoDB 27017
• 代理/VPN: 1080, 3128, 8080, 8888, 1723 (PPTP), 500/4500 (IPsec), 1194 (OpenVPN)
• 郵件: POP3 110, 995, IMAP 143, 993, SMTP 25, 465, 587

大量惡意軟體/後門常用高位埠 (參考封鎖)

3127-3198, 5000-5005, 777, 1001, 1024-1035, 1207, 1234, 1245, 1250, 1369, 1433, 1482-1485, 1492, 1500, 1524, 1634, 2023, 2535, 2556, 2583, 2745, 3000, 3030, 3067, 3232, 3333, 3422, 3587, 4321, 4444, 5110, 5111, 5190, 5238, 5300, 5698, 5800-5802, 6713, 7251, 7323, 7441, 7467, 7511, 7955, 8000, 8001, 8102, 8888, 8961, 9010, 9462, 9604, 9870, 9898, 10000, 10080, 10168, 15849, 16660, 17428, 18735, 18961, 19191, 20168, 20808, 27117, 27374, 29785-29788, 30100, 30999, 31000, 31335, 31789, 32770-32900, 43210, 43958, 44767, 45576, 45672, 46147, 47878, 52013, 54283, 58008-58009, 65535

最佳實踐建議

1. 最小權限原則：預設拒絕所有入站，僅開放業務必要埠 (如Web伺服器僅開80/443)。
2. 分區域策略：內網/信任區放行管理埠 (SSH/RDP/資料庫)；DMZ/外網僅開服務埠；管理介面限制來源IP (跳板機/VPN)。
3. 啟用狀態檢測：允許內部發起的連線回應封包 (ESTABLISHED, RELATED)，阻擋外部主動發起的非授權連線。
4. 日誌審計：啟用阻擋日誌，定期分析嘗試連線的來源IP、埠、頻率，納入威脅情報封鎖名單。
5. 升級防護：瑞星防火牆為傳統主機型防火牆，建議搭配/升級至新一代防火牆 (NGFW)、EDR、XDR 方案，獲得應用識別、IPS、沙箱、威脅情報整合等進階能力。