应精准拦截未经认证接口访问，而非简单禁用端口或ip；需先确认接口确无token、session等认证机制，再结合协议、端口、ip段及行为特征配置防火墙入站/出站规则，并持续验证收敛。
直接阻断所有针对未经认证系统接口的访问，不能靠“一刀切”禁止某个端口或IP，而要结合接口暴露特征、认证机制缺失点和防火墙规则逻辑来精准拦截。核心思路是：识别未认证流量的行为模式，用规则将其在进入系统前就拦住。
明确哪些接口属于“未经认证”
先确认目标接口是否真的缺乏认证层。常见情况包括：
- HTTP/HTTPS 接口未强制校验 Token、Session 或 Basic Auth
- API 路径如 /api/v1/user/export、/admin/config 等敏感路径未设访问控制
- 调试接口（如 /actuator/health、/swagger-ui.html）被意外暴露在公网
- 旧版本服务仍运行未鉴权的 REST 或 SOAP 接口
仅当确认这些接口确实无认证逻辑时，才适合用防火墙做兜底防护——它不是替代认证的方案，而是防止绕过应用层防护的最后防线。
用入站规则锁定“未认证访问”的典型特征
Windows 防火墙虽不支持按 URL 或 Header 过滤，但可基于协议、端口、IP 段和连接行为组合建模。例如：
- 若所有未认证接口都走 HTTP（非 HTTPS），且监听在 8080 端口，可新建一条入站规则：协议 TCP + 本地端口 8080 + 动作“阻止”，再单独放行已知可信来源（如运维跳板机 IP）
- 若某管理接口只应被内网访问（如 192.168.10.0/24），却暴露在公网，就创建“入站规则”：远程 IP 地址“除下列位置外”，填入该内网段，动作设为“阻止”
- 对暴露的 Swagger 或 Actuator 接口，若其路径固定（如 /actuator），且服务器使用特定 User-Agent（如 curl/7.68），虽防火墙无法匹配路径，但可配合日志识别高频扫描源 IP，再批量加入“阻止远程地址”规则
出站规则辅助阻断“未认证接口被反向调用”
某些场景下，攻击者会利用系统自身调用未认证接口（如 SSRF 或配置错误的回调）。此时需限制本机对外发起的异常请求：
- 禁止本机程序向非信任域名解析 DNS：按前述方法，阻断所有 UDP/TCP 53 出站，仅放行白名单 DNS（如 114.114.114.114），并手动锁定网卡 DNS 设置
- 若某未认证接口常被用于外联（如向第三方 webhook 发送数据），可创建出站规则：远程端口 443 + 远程 IP 不在业务白名单中 → 阻止
- 对已知恶意 C2 域名对应的 IP（如日志中反复出现的 185.143.223.47），直接添加“阻止远程 IP”出站规则，防止被控主机回传数据
验证与持续收敛
规则上线后必须验证是否真正生效，且不误伤正常业务：
- 用 Test-NetConnection -ComputerName x.x.x.x -Port yyy 测试目标 IP+端口是否被拦截
- 检查防火墙日志（事件查看器 → 安全日志，ID 4625 或筛选“防火墙”关键词），确认拦截记录与预期一致
- 定期导出活动规则：Get-NetFirewallRule -Enabled True | Export-Csv firewall_rules.csv，比对是否有冗余或冲突规则
- 把“默认拒绝”作为基线策略：确保所有新开放端口必须经过审批，并配套新建显式允许规则，避免遗漏导致隐性放行
