Windows 2000 防禦 Ping 攻擊四大實戰招式：ICMP 過濾、防火牆、IPSec、進階設定

ICMP 協定 (Ping/Tracert 基礎) 無連線、易偽造，常被用於主機掃描、洪水攻擊、碎片攻擊、甚至無連接埠木馬通訊。徹底關閉或過濾 ICMP 是主機硬化的基本動作。本文提供四種防禦層級。

招一：TCP/IP 進階篩選 + IPSec 原則（系統內建、最徹底）

1. 「網路連線 → 區域連線內容 → TCP/IP → 進階 → 選項 → TCP/IP 篩選」啟用。
   — TCP 連接埠：僅開放必要 (80, 21, 25, 110 等)。
   — UDP 連接埠：非必要全關閉 (防洪水/碎片攻擊)。
   — IP 協定：僅允許 TCP (協定號 6)。
   ⚠ 此處 IP 協定篩選不包含 ICMP (ICMP 屬網路層獨立協定)，ICMP 仍可通過。
2. 建立 IPSec 原則封鎖 ICMP：
   — 「本地安全性原則 → IP 安全性原則 → 管理 IP 篩選器」新增規則 ICMP_ANY_IN：來源任意、目的本機、協定 ICMP。
   — 「管理篩選器動作」新增 Deny：動作「封鎖」。
   — 將篩選器與動作綁定至新 IP 安全性原則並指派。
   ✅ 徹底封鎖所有進站 ICMP 封包。

招二：Internet 連線防火牆 (ICF) 進階設定 (WinXP/Win2k SP3+)

1. 區域連線內容 → 「進階 → 設定 → ICMP」頁籤。
2. 取消勾選所有「允許傳入」ICMP 類型 (回應要求、逾時、參數問題等)。
3. 確定套用，系統拒絕回應 Ping/Tracert。

招三：第三方個人防火牆 (金山網鏢/天網防火牆)

• 金山網鏢 2003：右鍵圖示 → 「實用工具 → 自訂 IP 規則編輯器」→ 取消「允許別人用 ping 探測」、勾選「防禦 ICMP 攻擊」→ 存檔套用。
• 天網防火牆 2.5：主介面 → 「自訂 IP 規則」→ 取消「防止別人用 ping 探測」、勾選「防禦 ICMP 攻擊」→ 存檔/套用。

招四：IPSec 原則 (詳細步驟見招一第 2 項)

針對 Win2k/WinXP 專業版/伺服器版，IPSec 為核心防禦層，可精細控制 ICMP、TCP/UDP 連接埠、IP 協定，且無第三方軟體相容性疑慮，強烈建議作為基準防護。

分層防禦：ICF/第三方防火牆 (應用層) + IPSec (核心層) + TCP/IP 篩選 (網路層) = 深度防禦最佳實踐。