怎样防范 Windows 网络协议栈的安全攻击

Windows网络协议栈防范重点在于配置加固与分层防御：禁用ICMP重定向、关闭IPv4源路由、停用NetBIOS over TCP/IP；启用静态ARP绑定、部署RPF检查；强制TLS 1.2+、限制SYN半连接、DNS强制DoH/DoT；结合防火墙默认拒绝策略、域内微隔离及Hyper-V网络隔离。

windows 网络协议栈本身不直接暴露高危漏洞，但攻击者常利用其协议行为（如arp、icmp、tcp握手、dns解析）发起中间人、欺骗或拒绝服务类攻击。防范重点不在“修补协议栈代码”，而在于配置加固、流量控制与分层防御。

关闭高风险协议功能

许多攻击依赖默认启用但实际极少使用的协议特性：

• 禁用ICMP重定向：通过组策略或PowerShell执行 netsh interface ipv4 set global icmpredirects=disabled，防止攻击者篡改路由表
• 关闭IPv4源路由：运行 netsh interface ipv4 set global sourcesrouting=disabled，阻断基于源路由的IP欺骗路径
• 停用NetBIOS over TCP/IP（除非遗留系统必需）：在网卡属性中取消勾选“Microsoft网络客户端”和“文件和打印机共享”之外的NetBIOS选项

强化ARP与IP层防护

链路层和网络层是欺骗类攻击主战场，需主动验证而非被动信任：

• 启用静态ARP绑定关键设备：对网关、DNS服务器等使用 arp -s 192.168.1.1 aa-bb-cc-dd-ee-ff，避免ARP缓存被毒化
• 部署反向路径转发（RPF）检查：在支持的网络设备（如Windows Server网关角色）上启用Strict RPF，丢弃源地址不属于入接口网段的数据包
• 限制本地子网内IP冲突响应：修改注册表 HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParameters 下 EnableDeadGWDetect 设为0，避免被恶意ICMP不可达报文干扰

传输层与应用层协同加固

TCP/IP栈的安全不能只靠底层，必须结合上层机制形成闭环：

• 强制TLS 1.2+并禁用弱密码套件：通过组策略“计算机配置→管理模板→网络→SSL配置设置”启用TLS 1.2，同时在IIS或应用中禁用RC4、SHA1、NULL加密套件
• 限制SYN半连接数与超时：用PowerShell设置 netsh int ipv4 set global maxhalfopen=500 和 synattackprotect=enabled，激活SYN Cookie机制
• DNS查询强制使用DoH或DoT：通过组策略或PowerShell配置系统级DNS over HTTPS（如指向Cloudflare或Quad9），规避传统DNS劫持与缓存投毒

网络隔离与访问控制落地

即使协议栈存在理论缺陷，隔离可大幅压缩攻击面：

• 启用Windows Defender 防火墙高级安全规则：针对入站连接，默认拒绝所有，仅按需开放端口；对出站连接启用日志记录，识别异常外连
• 在域环境中部署网络微隔离：利用Group Policy Object（GPO）配合Windows Network Access Protection（NAP）或现代Conditional Access策略，按设备健康状态动态控制网络访问权限
• 容器或WSL2场景下启用Hyper-V网络隔离：确保每个实例拥有独立网络命名空间与合成网卡，避免宿主机协议栈被横向渗透