Windows 2000 防 Ping 攻擊全指南：TCP/IP 篩選與 IPsec 双重防護

理解 ICMP 與 Ping 攻擊原理

ICMP（網際網路控制訊息協定）用於錯誤回報與控制訊息傳遞，Ping 與 Tracert 均基於 ICMP Echo Request/Reply 運作。ICMP 無連線特性使其靈活但易偽造來源位址，衍生出 ICMP 風暴、大封包阻塞、碎片攻擊、甚至無連接埠木馬通訊等威脅。

方法一：TCP/IP 篩選器（僅能阻擋 UDP/TCP，無法封鎖 ICMP）

「網路連線」→ 介面卡「內容」→ TCP/IP「進階」→「選項」→「TCP/IP 篩選」：

• TCP 連接埠：僅開放必要埠（Web 80、FTP 20/21、SMTP 25、POP3 110 等）。
• UDP 連接埠：非必要（如 DNS）全關閉，防洪水/碎片攻擊。
• IP 協定篩選：僅允許協定編號 6（TCP），但此處的「IP 協定」不包含 ICMP，故 ICMP 封包仍可通過。

方法二：IP 安全原則（IPsec）精準封鎖 ICMP

1. 開啟「本機安全性原則」→「IP 安全性原則」，建立新原則。
2. 「管理 IP 篩選器」→ 新增 ICMP_ANY_IN：來源「任何 IP」，目的地「我的 IP」，協定類型選 ICMP。
3. 「管理篩選器動作」→ 新增 Deny，動作類型選「封鎖」。
4. 將篩選器與動作綁定，指派原則生效。
5. 注意：地址選項中的「鏡像」若勾選，會同時建立對向規則（本機→任意 IP），視需求決定。

方法三：進階設定（ICMP 回應控制）

介面卡「內容」→「進階」→「設定」→「ICMP」索引標籤，勾選允許的回應類型（如「允許傳入回應要求」即允許 Ping），取消勾選即封鎖。

方法四：第三方防火牆（最簡單有效）

• 金山網鏢 2003：「自訂 IP 規則編輯器」→ 取消「允許別人用 ping 命令探測本機」，啟用「防禦 ICMP 類型攻擊」。
• 天網防火牆 2.50：「自訂 IP 規則」→ 取消「防止別人用 ping 命令探測」，啟用「防禦 ICMP 攻擊」。

建議採用 IPsec 或第三方防火牆，徹底阻擋惡意 Ping 探測與攻擊。