windows防火墙有效降低网络探测风险的关键在于限制反馈、隐藏服务、缩小作用域：关闭ssdp/upnp等响应服务，禁用icmp回显请求，入站规则限定可信ip范围，移除非必要应用例外，并启用日志监控异常连接。
windows 防火墙能有效减少网络探测带来的风险，关键不是“完全挡住所有扫描”，而是让探测行为难以获得有效反馈、无法识别服务类型、难以定位开放端口和运行程序。
关闭不必要的入站响应
默认情况下，Windows 防火墙会阻止未授权的入站连接，但某些系统服务（如 SSDP、UPnP、网络发现）可能在专用网络中主动响应探测请求，暴露设备存在或服务信息。建议按需关闭：
- 进入“网络和共享中心” → “更改高级共享设置” → 在当前网络配置文件下，关闭“网络发现”和“文件和打印机共享”
- 在“服务”管理器（services.msc）中，将 SSDP Discovery 和 UPnP Device Host 设为“手动”或“禁用”（尤其在公用网络）
- 确保“入站规则”中没有启用“允许 ICMP 回显请求”的规则（即 ping 响应），除非调试需要
限制入站规则范围，避免宽泛放行
开放端口时，切忌使用“任何 IP”作为作用域。攻击者常通过全网段扫描寻找可利用目标，缩小作用域能大幅降低被命中概率：
- 新建入站规则时，在“作用域”页签中，将“远程 IP 地址”设为具体 IP 或可信子网（如 192.168.1.0/24），而非“任何 IP 地址”
- 若仅需本地测试（如开发 Web 服务），可限定为 127.0.0.1 或本机局域网地址
- 对远程管理类端口（如 RDP 的 3389、SSH 的 22），务必配合 IP 白名单，禁用公网直连
禁用非必要服务的防火墙例外
控制面板中的“允许应用通过 Windows Defender 防火墙”列表，本质是简化版入站规则。很多预装软件或旧工具会自动注册例外，增加暴露面：
- 定期检查该列表，移除不常用、已卸载或来源不明的程序（如旧版远程助手、第三方 NAS 工具）
- 对必须保留的程序（如 MySQL、PostgreSQL），优先使用“高级安全 Windows Defender 防火墙”（wf.msc）创建基于端口+IP 作用域的精细规则，而非依赖程序路径放行
- 禁用“允许远程协助连接到此计算机”等系统级功能，除非明确需要
启用日志并关注异常连接尝试
开启防火墙日志后，可发现高频探测行为（如短时间内大量不同源 IP 尝试连接同一端口），便于及时响应：
- 打开“高级安全 Windows Defender 防火墙” → 右侧“属性” → 选择对应配置文件（如“公用”）→ 在“日志”选项卡中启用日志记录，设置大小上限与保存路径
- 日志默认路径为 %SystemRoot%\System32\LogFiles\Firewall\pfirewall.log，可用记事本或 PowerShell 快速查看最近 100 条拒绝记录：
Get-Content $env:SystemRoot\System32\LogFiles\Firewall\pfirewall.log -Tail 100 | Select-String "DROP" - 重点关注重复出现的外部 IP、非常规端口（如 445、139、3389）的拒绝条目，它们往往是自动化扫描痕迹
