Windows Server 2003 內建 ICF 防火牆配置實戰：從啟用到進階規則

Internet Connection Firewall (ICF) 是 Windows Server 2003 內建的狀態檢測防火牆，無需額外軟硬體成本，適合中小企業、分公司、獨立伺服器邊界防護。本文涵蓋啟用、服務/連接埠例外、ICMP、安全日誌四大配置面向。

一、 啟用 ICF

1. 「網路上的芳鄰」右鍵→「內容」。
2. 右鍵目標連線 (如「區域網路連線」) →「內容」→「進階」分頁。
3. 勾選「透過限制或封鎖來自 Internet 對這台電腦的存取，來保護我的電腦和網路」→「確定」。

二、 服務與連接埠例外配置 (核心)

啟用 ICF 後**所有未授權的輸入連線預設封鎖**，必須為合法服務開啟例外。

1. 內建常用服務例外

1. 「進階」分頁 →「設定」→「服務」分頁。
2. 勾選需對外提供的服務：Web 伺服器 (HTTP)、FTP 伺服器、安全 Web 伺服器 (HTTPS)、遠端桌面、DNS、DHCP 等。
3. 編輯服務可修改內部/外部連接埠、協定、作用域 (任意/特定網段)。

圖 1：ICF 服務例外清單 - 勾選 FTP 伺服器

2. 自訂非常用連接埠 (隱藏服務指紋)

例：Web 服務改跑 TCP 6000 而非 80。

1. 「服務」分頁 →「新增」。
2. 服務描述：Web Server 6000。
3. 內部/外部連接埠均填 6000，協定 TCP。
4. 確定後列表出現新服務，勾選啟用。

圖 2：新增自訂服務 - 連接埠 6000

三、 ICMP 設定 (控制 Ping/追蹤路由)

1. 「進階設定」→「ICMP」分頁。
2. 預設全禁用。依需求勾選：

• 「允許傳入回應要求」→ 允許 ping 此伺服器。
• 「允許傳出目的地無法到達」→ 允許 traceroute 回應。
• 「允許重新導向」→ 允許 ICMP 重新導向訊息。

**建議：** 僅在除錯期間啟用「允許傳入回應要求」，平時保持禁用以降低偵察風險。

四、 安全日誌 (稽核與取證)

1. 「進階設定」→「安全性記錄」分頁。
2. 勾選：「記錄被捨棄的封包」 (被封鎖的嘗試)、「記錄成功的連線」 (已建立的連線)。
3. 日誌檔預設：%SystemRoot%\pfirewall.log，最大 4 MB (可調整)。
4. 定期匯出分析：來源 IP、目的埠、動作 (DROP/OPEN)、時間戳記，作為入侵偵測與合規證據。

五、 ICF 能防禦什麼？

• 掃描工具 (Nmap、Superscan) 的連接埠掃描。
• 利用未修補漏洞的蠕蟲病毒 (如 Blaster/沖擊波、Sasser) 的傳播連線。
• 未授權的遠端存取嘗試 (Telnet、NetBIOS、SMB、RPC)。

六、 侷限性與補充建議

• **無輸出過濾：** ICF 不檢查發起的輸出連線，木馬外連無法阻擋 → 需配合主機型 HIPS 或網路層防火牆。
• **無應用層深度檢測：** 無法識別 HTTP SQL Injection、XSS 等 → 需 WAF (Web 應用程式防火牆)。
• **無集中管理：** 多台伺服器需逐台配置 → 群組原理可部署 ICF 原理 (電腦配置 → 系統管理範本 → 網路 → 網路連線 → Windows 防火牆)。
• **高併發效能：** 連線數超過數萬時 CPU 佔用率顯著上升 → 高流量前端建議硬體防火牆。

ICF 是「有總比無好」的基礎防線，配合最小化服務例外、關閉 ICMP、啟用日誌、定期審核，能有效阻擋 90% 以上的自動化攻擊與掃描。