「端口是伺服器的門，服務是門後的房間」。每個開放的端口對應一項服務，亦是潛在的攻擊面。本文系統梳理 Windows 伺服器高危端口對應服務關閉清單、TCP/IP 篩選配置實戰、以及基於最小權限原則的防火牆規則建構方法，構建多層次防禦體系。
| 端口 | 服務名稱 (顯示名 / 服務名) | 功能 | 風險 | 建議動作 |
|---|---|---|---|---|
| 7, 9, 13, 17, 19 | Simple TCP/IP Services | Character Generator, Daytime, Discard, Echo, Quote of the Day | 資訊洩露、DoS 放大 | 停用並設為「已停用」 |
| 21 | FTP Publishing Service | FTP 檔案傳輸 | 暴力破解、匿名上傳、明文傳輸 | 非必需停用；必需改用 SFTP/FTPS + 強密碼 + IP 白名單 |
| 23 | Telnet | 遠端命令列登入 | 明文傳輸、弱認證、後門利用 | 嚴禁啟用，全面改用 SSH |
| 25 | Simple Mail Transport Protocol (SMTP) | 郵件發送 | 開放轉發、垃圾郵件跳板 | 非郵件伺服器關閉；郵件伺服器啟用認證、TLS、反垃圾郵件 |
| 80 | World Wide Web Publishing Service | HTTP 網頁服務 | Web 攻擊面 (SQLi, XSS, RCE) | 非 Web 伺服器關閉；Web 伺服器配合 WAF、最小權限、定期掃描 |
| 135 | Remote Procedure Call (RPC) / DCOM | RPC 端點對映器 | 遠端代碼執行 (如 MS08-067)、側向移動 | 防火牆封鎖外網訪問；內網僅受信任管理段開放 |
| 139 | NetBIOS Session Service | 檔案/列印共享 (SMB over NetBIOS) | 資訊枚舉、空連接、勒索病毒橫向擴散 | 網卡屬性 → TCP/IPv4 → 進階 → WINS → 「停用 TCP/IP 上的 NetBIOS」 |
| 445 | Server (SMB 直接裝載 TCP) | 檔案/列印共享、IPC$, C$, ADMIN$ | 永恆之藍、勒索病毒首選傳播埠 | 防火牆封鎖外網；內網啟用 SMB 簽名、封鎖 SMBv1、限制存取 IP |
| 3389 | Remote Desktop Services | 遠端桌面 (RDP) | 暴力破解、憑證填充、RCE (BlueKeep CVE-2019-0708) | 修改預設埠、啟用 NLA、僅允許 VPN/堡壘機/白名單 IP 訪問 |
| 1433/1434 | SQL Server | 資料庫服務 | 資料外洩、注入、暴力破解 | 絕不直連公網；僅應用伺服器內網訪問、強密碼、最小權限帳號 |
| 3306 | MySQL | 資料庫服務 | 同 SQL Server | 同 SQL Server |
無需第三方軟體，利用作業系統內核級篩選，效能損耗極低。
ncpa.cpl → 開啟「網路連線」。⚠ 警告：啟用前務必確認遠端管理埠 (RDP/SSH) 已加入允許清單，否則重啟後將永久失聯！建議先在本機主控台或 KVM/IPMI 操作。
wf.msc 開啟「含進階安全性的 Windows 防火牆」。80,443,3389(自訂) → 允許連線 → 設定檔：域/專用/公用 (視網路位置) → 命名：Allow_In_Web_RDP。對已決定停用的服務 (Telnet, Simple TCP/IP Services, SMTP 等)：
sc config "ServiceName" start= disabled (注意 start= 後有空格)
或 services.msc → 右鍵服務 → 「內容」 → 「啟動類型」→「已停用」。
nmap -sS -p- (外部視角) 掃描開放埠，對比授權清單。secpol.msc → 進階稽核原則 → 物件存取/登入事件/原則變更 → 成功/失敗均稽核。核心原則：默認拒絕、最小開放、來源限制、持續審計。端口管理不是一次性動作，而是伴隨業務變更的持續生命週期過程。
