实现Windows主机在局域网中“隐身”的深度配置策略
1. 理解局域网可见性的基本构成
在企业或办公网络中，一台Windows主机即便关闭了“网络发现”，仍可能通过多种协议暴露自身存在。常见的暴露途径包括：
ARP（Address Resolution Protocol）响应：用于IP到MAC地址映射，无法完全禁用但可控制访问。ICMP（Internet Control Message Protocol）回应：如ping请求，默认允许响应。NetBIOS over TCP/IP：提供名称解析和会话服务，常监听端口137-139。LLMNR（Link-Local Multicast Name Resolution）：IPv6环境下的名称解析机制。SMB/CIFS服务：使用端口445进行文件共享通信。
这些协议和服务构成了局域网扫描工具（如nmap、Advanced IP Scanner）识别主机的基础。
2. 关闭基础网络发现功能的局限性分析
设置项路径实际效果是否足够隐藏关闭网络发现控制面板 → 网络和共享中心 → 高级共享设置停止广播共享资源，不主动响应发现请求否，仍响应底层协议关闭文件和打印机共享同上禁用SMB相关服务启动部分有效，需配合防火墙启用公共网络配置网络属性选择“公共”默认更严格的防火墙规则是基础步骤之一
3. 配置高级防火墙规则以阻断关键端口
Windows Defender 防火墙支持出站与入站规则定制。以下为必须阻止的服务及其对应端口：
端口139 (NetBIOS Session Service)：用于建立SMB会话。端口445 (SMB over TCP)：现代文件共享核心端口。UDP 137 (NetBIOS Name Service)：名称注册与查询。UDP 5355 (LLMNR)：链路本地多播名称解析。
# 使用PowerShell创建入站封锁规则示例：
New-NetFirewallRule -DisplayName "Block SMB Port 445" `
-Direction Inbound `
-Protocol TCP `
-LocalPort 445 `
-Action Block
New-NetFirewallRule -DisplayName "Block NetBIOS Port 139" `
-Direction Inbound `
-Protocol TCP `
-LocalPort 139 `
-Action Block
New-NetFirewallRule -DisplayName "Block LLMNR UDP 5355" `
-Direction Inbound `
-Protocol UDP `
-LocalPort 5355 `
-Action Block
4. 禁用广播型名称解析协议
LLMNR 和 NetBIOS 是局域网内名称解析的“最后手段”，但极易被滥用进行中间人攻击或主机探测。
禁用LLMNR：
组策略路径：计算机配置 → 管理模板 → 网络 → DNS客户端 → 关闭LLMNR
禁用NetBIOS over TCP/IP：
网络适配器属性 → IPv4 → 属性 → 高级 → WINS标签页 → 设置为“禁用NetBIOS over TCP/IP”
5. 综合防护流程图（Mermaid格式）
graph TD
A[开始: Windows 主机局域网隐身配置] --> B{是否属于可信网络?}
B -- 否 --> C[设置网络类型为“公共”]
B -- 是 --> D[继续执行安全加固]
C --> E[关闭网络发现]
D --> E
E --> F[禁用LLMNR via GPO或注册表]
F --> G[禁用NetBIOS over TCP/IP]
G --> H[配置高级防火墙规则]
H --> I[阻止TCP 139, 445 入站]
I --> J[阻止UDP 137, 5355 入站]
J --> K[可选: 禁用SMB服务]
K --> L[验证隐身效果: nmap扫描测试]
6. 注册表级深度控制（适用于高安全场景）
对于无法使用组策略的环境，可通过修改注册表直接关闭LLMNR：
Key: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\DNSClient
Value Name: EnableMulticast
Type: DWORD
Data: 0
若键不存在，请手动创建。此设置将彻底禁用LLMNR多播查询。
7. 验证隐身效果的技术方法
完成上述配置后，应从另一台主机执行以下检测：
nmap -sS <目标IP>：检查开放端口是否包含139/445。ping <目标IP>：确认ICMP响应是否被阻止（需额外防火墙规则）。nslookup <主机名>.local：测试LLMNR是否失效。使用Wireshark抓包分析是否存在NetBIOS名称查询响应。
8. 平衡安全性与功能性设计原则
在实施隐身策略时，需避免影响正常业务通信。建议遵循以下原则：
仅封锁**入站**连接，保留出站通信自由度。对特定子网或管理主机例外放行（使用防火墙作用域限制）。结合802.1X网络准入控制，实现动态策略应用。定期审计防火墙规则有效性，防止策略漂移。