Windows Server 2012 R2默认不记录防火墙详细日志，且原生日志（尤其双启用“允许/阻止”）存在mpssvc冻结风险；确需启用时应优先打补丁、仅选“丢弃”日志、限制权限并定期轮转。

windows server 默认不记录防火墙的详细连接日志，且开启原生防火墙日志（尤其是“允许连接”和“阻止连接”双启用）在 windows server 2012 r2 及更早版本中存在已知稳定性风险：可能引发 mpssvc（windows 防火墙服务）冻结或崩溃。虽后续补丁（如 kb3156418）缓解了该问题，但生产环境仍需谨慎评估必要性与替代方案。

一、确认是否真需开启原生日志

原生防火墙日志粒度粗、存储效率低、无聚合分析能力，仅适合短期排错。多数合规（如等保三级）和运维场景推荐用替代方案：

• 使用 Visual Syslog Server 或 ELK/EFK 接收设备级日志（需网络设备、Linux 服务器等主动发送）
• 通过 PowerShell 脚本定期导出连接状态（如 Get-NetTCPConnection + 时间戳归档）
• 对关键服务（如 RDP、Web）单独配置 Windows 事件日志审计（登录/失败/特权使用），比防火墙日志更有溯源价值

二、如确需启用原生防火墙日志（仅限 Server 2016+ 或已打补丁的 2012 R2）

操作路径如下（图形界面优先，避免注册表误操作）：

直播间话术巡检-windows

直播话术巡检系统(Windows版) — 实时语音转写、关键词检测、场景自动切换、告警推送、大屏可视化。支持 Windows VB-Cable 虚拟声卡音频采集，阿里云 ASR 实时识别。一键启动脚本，自动安装环境。

下载

• 按 Win + R，输入 wf.msc 打开“高级安全 Windows 防火墙”
• 左侧点击 “监视” → “防火墙日志”
• 点击右侧 “属性”，勾选“记录丢弃的数据包”和/或“记录成功的连接”（建议先只选“丢弃”，降低负载）
• 设置日志路径（默认 %systemroot%\System32\logfiles\firewall\pfirewall.log），确保所在磁盘有足够空间（建议预留 ≥500 MB）
• 点击“确定”后，重启 Windows 防火墙服务（net stop mpssvc && net start mpssvc）使配置生效

三、日志查看与基础分析

日志为纯文本格式，字段以空格分隔，关键列包括：日期、时间、动作（ALLOW/ BLOCK）、协议（TCP/UDP）、源IP、目的IP、源端口、目的端口、规则名称。

• 用记事本或 Get-Content 查看最新几行：Get-Content C:\Windows\System32\logfiles\firewall\pfirewall.log -Tail 20
• 筛选特定 IP 的阻断记录（PowerShell）：Select-String "BLOCK.*192.168.1.100" C:\Windows\System32\logfiles\firewall\pfirewall.log
• 注意：日志不记录用户上下文、进程名或应用层内容，无法区分是 IIS 还是 nginx 占用了 80 端口

四、必须同步做的加固项

开启防火墙日志本身不提升安全性，反而暴露日志路径。务必配套执行：

• 限制日志文件访问权限：右键日志目录 → 属性 → 安全 → 仅保留 SYSTEM、Administrators 完全控制，移除 Users 组
• 关闭不必要的默认共享（admin$、C$、IPC$），防止日志被远程读取
• 将防火墙配置文件明确设为 “域”或“专用”，禁用“公用”配置文件（服务器无需公网暴露）
• 定期轮转日志：通过任务计划程序运行脚本，压缩旧日志并删除超 30 天的文件