Windows 內建防火牆深度策略：軟體限制、偽裝進程與連接埠封鎖全攻略

許多人誤以為 Windows 防火牆不可靠，實則是缺乏完善策略支援。本文詳述如何透過「軟體限制原則」與「IP 安全性原則」，將內建防火牆打造為堅固防線。

防火牆基本設定

• 「一般」頁面：依「例外狀況」勾選允許通訊的程式/連接埠。
• 「進階」頁面：啟用記錄（記錄捨棄/成功封包），設定日誌路徑與大小（預設 %systemroot%\pfirewall.log）。
• ICMP 設定：依需求啟用特定 ICMP 訊息類型（預設全阻擋）。

軟體限制原則——四大核心規則

路徑：gpedit.msc → 電腦設定 → Windows 設定 → 安全性設定 → 軟體限制原則 → 其他規則

1. 善用環境變數與優先順序

常用變數：%SYSTEMDRIVE%、%ProgramFiles%、%SYSTEMROOT%、%USERPROFILE%、%APPDATA%、%TEMP% 等。
優先順序：絕對路徑 > 含萬用字元路徑 > 檔名。
範例：阻擋偽裝成 svchost.exe 的病毒 — 新增兩條規則：
① svchost.exe →「不允許」
② %windir%\system32\svchost.exe →「不受限制」
利用優先順序讓真系統檔通行、偽裝病毒被擋。

2. 封鎖雙副檔名與 USB 執行檔

• *.jpg.exe、*.txt.exe →「不允許」（防雙副檔名詐騙）
• H:\*.exe、H:\*.com →「不允許」（H 為 USB 磁碟代號，防止隨身碟病毒自動執行）

3. 禁止四大高風險路徑執行程式

• ?:\Recycled\*.*
• %windir%\system\*.*
• %windir%\system32\Drivers\*.*
• ?:\System Volume Information\*.*

註：*.* 僅阻擋可執行檔，不影響 txt、jpg 等資料檔。

4. 擋下偽裝進程名稱

• *.pif、sp0olsv.exe、spo0lsv.exe、sp00lsv.exe
• svch0st.exe、expl0rer.exe、explorer.com

補充：.pif、.com 優先序高於 .exe，隱蔽性極強；開啟「顯示副檔名」或用 WinRAR/第三方瀏覽器檢視真實副檔名。

IP 安全性原則——四步封鎖高風險連接埠

1. 控制台 → 管理工具 → 本機安全性原則 → IP 安全性原則，新建「安全通訊要求」，取消「啟用預設回應規則」。
2. 右鍵屬性 → 新增規則 → 新增篩選器 → 取消「使用精靈」。
3. 篩選器屬性：來源「任何 IP」、目的地「我的 IP」、協定「TCP」、目的連接埠輸入欲封鎖埠號（如 3389、139、445 等）。
4. 篩選器動作：新增「阻擋」動作，安全性選項選「阻擋」；回到原則視窗勾選該規則並「指派」。

具體封鎖埠號請參考連接埠大全並依自身需求調整。

配置完成後，Windows 內建防火牆即具備企業級防禦能力，無需額外購買第三方產品。