Windows系统安全加固：彻底关闭445端口防御永恒之蓝攻击

1. 项目概述与背景解析

几年前，一场名为“永恒之蓝”的勒索病毒在全球范围内掀起了轩然大波，无数企业和个人的电脑在一夜之间被锁死，重要文件被加密，屏幕上只剩下冰冷的勒索信息和倒计时。这场灾难的根源，就指向了Windows系统中一个看似不起眼的网络端口——445端口。这个端口主要用于Windows系统的文件共享和打印机共享服务，但在设计之初，它也为恶意攻击者留下了一道“后门”。永恒之蓝病毒正是利用了445端口上的一个高危漏洞，实现了在局域网甚至互联网上的快速、自动化的传播。时至今日，虽然微软早已发布了官方补丁，但仍有大量未及时更新的老旧系统、或者因业务需要而不得不开放此端口的服务器暴露在风险之下。关闭445端口，配置好防火墙，早已不是一项可选的“优化”，而是保障系统基础安全的“必修课”。这篇文章，我将以一个老运维的视角，手把手带你从原理到实操，彻底堵上这个危险的传播通道。无论你是个人用户、中小企业网管，还是对系统安全感兴趣的爱好者，都能从中学到一套清晰、有效且能直接上手的防御方案。

2. 核心原理：为什么是445端口？

在动手之前，我们必须搞清楚敌人是谁，以及它从哪里来。盲目操作往往会导致业务中断或留下新的安全隐患。

2.1 SMB协议与445端口的渊源

445端口是微软服务器消息块协议的默认端口。SMB协议可以理解为Windows系统之间进行“文件对话”的专用语言。当你通过“\192.168.1.100”这样的路径访问另一台电脑的共享文件夹时，背后就是SMB协议在通过445端口进行通信。在早期的Windows系统中，SMB协议运行在TCP 139端口上，并且依赖于NetBIOS协议。从Windows 2000开始，微软引入了“Direct Hosting of SMB over TCP/IP”，让SMB协议能直接运行在TCP 445端口上，这简化了通信过程，提升了效率，但也让攻击向量变得更加直接。

注意：关闭445端口，主要影响的是基于TCP/IP的直接SMB文件共享。如果你的网络环境非常老旧，还存在依赖NetBIOS（137-139端口）的共享访问，那么仅关闭445可能不够，需要一并处理。但对于现代网络环境，445端口是首要目标。

2.2 永恒之蓝漏洞的利用机制

永恒之蓝之所以危害巨大，在于它利用的并非一个需要用户交互的漏洞。它攻击的是SMB协议v1版本中一个用于处理请求的数据包解析函数。攻击者精心构造一个畸形的数据包发送到目标机的445端口，这个数据包会触发系统内存处理的错误，导致攻击者能够远程执行任意代码。更可怕的是，这个漏洞利用代码具有“蠕虫”特性，一台机器中招后，它会自动扫描内网中其他开放445端口的机器，并继续发起攻击，形成链式反应，瞬间瘫痪整个网络。

这个漏洞的官方编号是MS17-010。微软在2017年3月就发布了安全补丁，但很多用户由于系统更新策略、担心兼容性问题或纯粹的管理疏忽，并未及时安装。关闭445端口，是从网络层面对该漏洞进行“物理隔离”，相当于给房子最脆弱的那扇门加上一把坚固的锁，无论门本身的锁芯是否有问题，攻击者都无法触及。

2.3 防火墙的角色：从“交警”到“边防站”

很多用户对Windows防火墙有误解，认为它功能薄弱或影响性能。实际上，它是系统内置的、最基础的网络流量“交警”。它的核心工作是依据一套预先设定的规则，对进出计算机的数据包进行“盘查”：允许、拒绝或询问。

在应对永恒之蓝这类端口扫描攻击时，防火墙的作用就从“交警”升级为了“边防站”。我们通过配置一条规则：“所有从任何地址发往本机445端口的TCP连接请求，一律拒绝”，这就构筑了一道边境防线。即使系统内部存在漏洞，外部的攻击数据包在防火墙这一层就被丢弃了，根本无法到达漏洞所在的SMB服务程序，从而实现了有效防护。这种思路在安全领域称为“纵深防御”，防火墙正是最外层、也是最关键的一层。

3. 实战操作：三种关闭445端口的方法

知道了为什么，接下来就是怎么做。我将介绍三种由浅入深的方法，你可以根据自身的技术水平和管理需求进行选择。

3.1 方法一：通过Windows防火墙高级安全入站规则（推荐）

这是最灵活、最可控，且可逆的方法。它只阻止外部对445端口的访问，不影响本机主动向外的连接（如果需要）。

操作步骤：

1. 打开防火墙高级设置： 按下Win + R，输入wf.msc并回车。这是打开“高级安全Windows Defender防火墙”的快速命令。你会看到一个包含“入站规则”和“出站规则”的管理界面。

2. 创建新的入站规则： 在右侧“操作”窗格中，点击“新建规则...”。规则类型选择“端口”，点击下一步。

3. 指定协议和端口： 规则应用于“TCP”协议。在“特定本地端口”中输入445。点击下一步。

   实操心得：这里只填TCP 445，因为永恒之蓝主要利用TCP。UDP 445端口在某些特定场景下也可能被用于SMB，但从通用防护角度，先阻断TCP即可。如果你追求极致安全，可以再创建一条规则阻断UDP 445。

4. 选择操作： 选择“阻止连接”。这意味着符合此规则条件的数据包将被静默丢弃，不会向发送者返回任何错误信息，增加了攻击者的探测难度。点击下一步。

5. 配置规则应用场景： 三个选项（域、专用、公用）全部勾选。这确保了无论你的电脑处于公司内网（域）、家庭网络（专用）还是咖啡馆Wi-Fi（公用），此规则都生效。点击下一步。

6. 命名规则： 给规则起一个清晰的名字，例如“阻止入站 TCP 445 - 防范永恒之蓝”。描述可以写“阻止所有对445端口的入站连接，用于防御MS17-010等SMB漏洞攻击”。点击完成。

验证规则是否生效： 创建完成后，该规则会出现在入站规则列表的顶部（默认按创建时间排序）。确保其“已启用”状态为“是”。你可以使用另一台电脑，通过telnet [你的IP] 445命令进行测试（需先在“启用或关闭Windows功能”中安装Telnet客户端）。如果连接失败或超时，说明规则生效。

3.2 方法二：禁用SMB服务（彻底但影响功能）

这是更底层的操作，直接关闭提供服务的“工厂”。但副作用明显，你将无法使用本机的文件共享功能。

操作步骤：

1. 打开服务管理器：Win + R输入services.msc并回车。

2. 找到并停止相关服务： 在服务列表中找到“Server”服务。右键点击，选择“属性”。 首先，将“启动类型”设置为“禁用”。 然后，点击“停止”按钮来立即停止当前运行的服务。 点击“应用”和“确定”。

3. 禁用依赖服务（可选但建议）： “Server”服务停止后，依赖它的“Computer Browser”等服务可能会报错。你可以同样将“Computer Browser”服务的启动类型设为“禁用”并停止它。

影响评估： 禁用Server服务后，本机将无法向网络提供任何文件共享、打印机共享、命名管道和RPC服务。这意味着：

• 其他电脑无法访问你的共享文件夹。
• 本机的一些管理功能可能异常，例如“网络”中看不到其他计算机。
• 一些依赖网络IPC的软件可能会出错。 因此，除非你百分百确认不需要任何形式的网络共享功能，否则不建议普通用户使用此方法。对于服务器，更需要谨慎评估。

3.3 方法三：通过注册表禁用SMBv1（针对性加固）

永恒之蓝漏洞针对的是SMBv1协议。禁用这个古老且不安全的协议版本，既能防范特定漏洞，又可能保留SMBv2/v3的文件共享功能（需结合防火墙规则）。这是“手术刀”式的精准加固。

操作步骤（高风险操作，建议先备份注册表）：

1. 打开注册表编辑器：Win + R输入regedit并回车。

2. 导航到目标键值： 依次展开路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters在右侧空白处右键，选择“新建” -> “DWORD (32位) 值”。 将新值命名为SMB1。 双击SMB1，将其“数值数据”修改为0（0代表禁用，1代表启用）。 点击确定。

3. 重启系统： 修改注册表后，需要重启计算机才能使更改生效。

效果与局限： 此方法仅禁用SMBv1协议。对于Windows 8和Windows Server 2012之后的系统，你还可以在“启用或关闭Windows功能”中直接取消勾选“SMB 1.0/CIFS 文件共享支持”，这是更友好的图形化操作。然而，禁用SMBv1并不能完全替代关闭445端口。因为SMBv2/v3协议同样使用445端口，它们历史上也出现过其他严重漏洞。因此，注册表修改或功能关闭，应与防火墙规则配合使用，实现“协议禁用+端口封锁”的双重保险。

4. 进阶配置与策略优化

对于网络管理员或安全要求更高的用户，简单的阻止规则只是开始。我们需要更精细化的控制。

4.1 创建出站规则（可选但严谨）

入站规则阻止了外部入侵，那出站规则有什么用？它的核心目的是“防止内鬼”。假设局域网内有一台电脑已经感染了蠕虫病毒，它会疯狂扫描内网445端口。如果你的电脑没有防护，就会被攻击。但如果你配置了出站规则，意义在于限制本机异常程序对外连接445端口的行为，虽然对防御永恒之蓝的直接攻击意义不大，但可以作为整体安全策略的一部分，防止本机恶意软件通过445端口扩散。 创建方法与入站规则类似，在“出站规则”中新建规则，协议端口选择TCP 445，操作选择“阻止连接”，并应用于所有配置文件即可。

4.2 配置基于IP地址的白名单（企业环境必备）

在真实的办公或服务器环境中，一刀切地关闭445端口可能会影响正常的域管理、文件服务器访问或特定备份任务。这时，我们需要使用防火墙的“白名单”机制。

操作思路：我们不创建“阻止所有”的规则，而是创建“只允许特定IP访问”的规则。这需要两条规则配合，且顺序至关重要。

1. 创建允许规则（范围精确）：

   • 新建入站规则，规则类型选择“自定义”。
   • 在“程序和服务”页，保持“所有程序”。
   • 在“协议和端口”页，协议类型选“TCP”，本地端口填445。
   • 在“作用域”页，这是关键。在“远程IP地址”部分，选择“下列IP地址”，然后点击“添加”按钮，输入你允许访问本机445端口的特定IP地址或子网（例如，文件服务器的IP，或网管终端的IP段192.168.1.0/24）。
   • 在“操作”页，选择“允许连接”。
   • 完成创建。给规则命名如“允许-特定IP访问TCP 445”。

2. 创建阻止规则（范围广泛）：

   • 按照3.1节的方法，创建一条阻止所有IP访问TCP 445的规则。
   • 命名如“阻止-所有IP访问TCP 445”。

3. 调整规则顺序： 在入站规则列表中，必须确保“允许”规则在“阻止”规则之上。因为Windows防火墙规则是按从上到下的顺序匹配的。当有连接到来时，防火墙会先匹配到允许规则，对特定IP放行；对于其他所有IP，则会继续向下匹配到阻止规则，从而被拒绝。如果顺序反了，阻止规则先生效，那么允许规则就永远没机会执行了。

4.3 使用组策略进行批量部署（域管理场景）

在企业域环境中，逐台配置防火墙是不现实的。组策略是统一管理的利器。

1. 在域控制器上打开“组策略管理”控制台。
2. 创建一个新的组策略对象，或编辑一个已链接到目标计算机OU的现有GPO。
3. 导航到：计算机配置->策略->Windows 设置->安全设置->高级安全Windows Defender防火墙->入站规则。
4. 在右侧右键，选择“新建规则...”，后续步骤与图形界面操作完全一致，配置你的阻止规则或白名单规则。
5. 策略保存后，域内的客户端计算机会在下次组策略刷新周期（通常90分钟一次，或重启时）自动下载并应用此规则。

这种方式确保了安全策略的强制性和一致性，是运维人员必须掌握的技能。

5. 操作后的验证与效果测试

配置完成后，不能想当然认为万事大吉，必须进行验证。

5.1 本地验证：使用netstat与PowerShell

首先，检查445端口是否仍在监听。以管理员身份打开PowerShell或命令提示符：

netstat -ano | findstr :445

如果看到类似TCP 0.0.0.0:445 0.0.0.0:0 LISTENING 4的行，说明有进程正在监听445端口。这是正常的，因为SMB服务（Server服务）仍在运行。防火墙的作用是“过滤”，而不是“消灭”监听。关键在于，这个监听状态对外部是否可达。

5.2 外部攻击模拟测试（谨慎操作）

为了真实测试防火墙规则的效果，你可以从网络中的另一台电脑进行扫描。

1. 使用Telnet测试： 在测试机上，尝试连接目标机的445端口：telnet [目标IP] 445。如果连接立即失败或长时间超时，说明防火墙规则生效，连接被阻断。

2. 使用Nmap扫描： Nmap是更专业的端口扫描工具。在测试机上执行：nmap -p 445 [目标IP]。

   • 规则生效时：结果通常会显示445/tcp filtered或445/tcp closed|filtered。“filtered”状态正是防火墙工作的标志，它意味着扫描包被防火墙拦截了，Nmap无法确定端口是开放还是关闭。
   • 规则未生效时：如果SMB服务运行且无防护，结果会显示445/tcp open。

3. 使用永恒之蓝漏洞扫描工具： 网上存在一些基于MS17-010的漏洞扫描器（如MSF的auxiliary/scanner/smb/smb_ms17_010模块）。在授权的测试环境中，使用此类工具扫描目标机。如果防火墙配置正确，扫描结果应显示目标“不可利用”或“无响应”，而不是“存在漏洞”。

重要警告：所有攻击模拟测试必须在你自己完全控制的、隔离的测试环境中进行。未经授权对他人网络或系统进行扫描和测试是违法行为。

5.3 业务影响测试

如果配置了白名单，务必测试正常业务是否受影响。从白名单内的IP地址尝试访问目标机的共享文件夹（\\目标IP\），应该能正常访问。从白名单外的IP地址尝试访问，应该被拒绝。同时，检查域加域、组策略更新、分布式文件系统等依赖SMB的服务是否工作正常。

6. 常见问题排查与疑难解答

在实际操作中，你可能会遇到一些意料之外的情况。这里我整理了几个典型问题。

6.1 问题：规则已创建，但端口扫描仍显示“open”

可能原因与排查步骤：

1. 规则未启用：检查防火墙高级安全控制台，确认你创建的规则“已启用”状态为“是”。
2. 规则顺序错误：如果你同时有“允许”和“阻止”规则，请务必检查“允许”规则是否在“阻止”规则之上。可以临时禁用“允许”规则测试。
3. 防火墙配置文件错误：确认规则应用于正确的配置文件（域、专用、公用）。例如，你的电脑当前连接的是“公用”网络，但规则只应用于“域”和“专用”，那么规则不会生效。最稳妥的做法是创建规则时勾选所有配置文件。
4. 第三方防火墙干扰：如果你安装了诺顿、卡巴斯基、McAfee等第三方安全软件，它们可能带有自己的防火墙模块，并可能覆盖或与Windows防火墙冲突。你需要检查第三方防火墙的规则设置，或者暂时禁用其防火墙功能进行测试。
5. IPSec策略影响：在某些域环境中，管理员可能部署了IPSec策略来允许或阻止特定端口的流量。这些策略的优先级高于Windows防火墙。可以运行gpresult /h report.html生成组策略报告，查看应用的IPSec策略。

6.2 问题：关闭端口后，内部网络共享无法使用

场景分析：这通常发生在你使用“方法二”彻底禁用Server服务，或者错误地配置了防火墙规则（例如，错误地创建了出站阻止规则，或者入站规则阻止了所有流量）。

解决方案：

1. 检查Server服务：运行services.msc，查看“Server”服务是否处于“已启动”状态。如果被禁用，根据业务需要将其启动类型改为“手动”或“自动”，并启动服务。
2. 检查防火墙规则：重点检查入站规则中，是否有针对“文件和打印机共享”系列规则的阻止项。系统默认有一些预定义的“文件和打印机共享”规则，确保它们对于你的内部网络配置文件是“已启用”状态。你可以通过规则组进行筛选查看。
3. 使用白名单替代全局阻止：如果内部有文件共享需求，强烈建议采用4.2节所述的“白名单”方案，而不是简单粗暴地全局阻止445端口。

6.3 问题：组策略下发的防火墙规则不生效

排查思路：

1. 策略应用结果：在客户端电脑上以管理员身份运行gpresult /r，查看“已应用的组策略对象”列表中是否包含你编辑的GPO。
2. 防火墙服务状态：确保客户端的“Windows Defender防火墙”服务正在运行。
3. 本地规则冲突：组策略下发的规则优先级高于本地创建的规则，但如果有本地管理员创建了更高优先级的规则（虽然不常见），也可能产生影响。可以在客户端防火墙控制台查看所有规则。
4. 策略刷新：在客户端运行gpupdate /force强制刷新组策略，然后重启计算机再试。
5. WMI筛选器或权限：检查GPO是否链接到了正确的组织单元，以及是否设置了WMI筛选器或安全筛选导致部分计算机无法应用。

6.4 其他潜在影响与注意事项

• 云主机与安全组：如果你在阿里云、腾讯云等云平台上运行Windows服务器，除了操作系统内部的防火墙，务必同时配置云平台的安全组规则。安全组是云平台提供的虚拟防火墙，作用于实例级别。你需要在其入站规则中明确拒绝445端口。两者结合，构成从云平台到操作系统的双重防护。
• IPv6不要忘记：现代网络普遍启用IPv6。在创建防火墙规则时，默认作用域是“任何”IP地址，这包含了IPv4和IPv6。但如果你在配置白名单时只添加了IPv4地址，那么IPv6流量可能不受控制。请根据你的网络环境，酌情考虑为IPv6地址也配置相应的规则。
• 定期审计与更新：安全不是一劳永逸的。定期检查防火墙规则列表，清理无效或过时的规则。同时，安装系统更新补丁永远是第一要务。防火墙是重要的边界防护，但打补丁是修复漏洞的根本。务必确保系统已安装MS17-010及之后的所有重要安全更新。

堵住445端口，配置一道坚固的防火墙，是抵御永恒之蓝这类利用固定端口传播的蠕虫病毒最有效、最经济的手段之一。这套方法的核心思想——通过网络访问控制来缩小攻击面——可以推广到其他任何存在风险的端口和服务上。安全是一个体系，从及时更新、最小权限原则到网络隔离，每一环都不可或缺。从我处理过的众多安全事件来看，很多大规模感染在初期只需要一个简单的端口封锁就能避免。希望这篇详尽的指南，能帮你建立起这第一道，也是至关重要的一道防线。