火绒安全软件可通过四项配置强化局域网防护：一、开启网络入侵拦截以阻断SMB爆破等异常连接；二、设置IP协议控制规则屏蔽指定局域网段；三、启用联网控制限制PsExec等高风险程序访问局域网；四、开启恶意网址拦截阻断C2域名解析。

一、启用网络入侵拦截功能

网络入侵拦截是火绒识别并阻断局域网内异常连接尝试（如SMB爆破、WMI横向移动、IPC$空会话探测等）的核心防护层。该功能基于行为分析与协议特征匹配，可实时拦截未授权的远程控制类通信。

1、双击启动火绒安全软件主程序。

2、在主界面点击底部【防护中心】按钮。

3、在防护中心页面右侧区域点击【网络防护】选项卡。

4、在【网络防护】列表中找到【网络入侵拦截】项，将其右侧开关切换为开启状态。

二、配置IP协议控制规则拦截局域网地址段

通过IP协议控制可主动屏蔽指定局域网IP范围（如192.168.1.0/24、10.0.0.0/8），阻止本机与该网段间所有TCP/UDP通信，有效切断横向渗透路径。

1、点击火绒主界面右上角三条横线图标，打开菜单。

2、选择【安全设置】进入设置中心。

3、在左侧栏依次展开【高级防护】→【IP协议控制】。

4、点击右侧【添加规则】按钮。

5、在弹出窗口中填写：源IP为任意，目标IP为192.168.1.0/24（按实际局域网段修改），协议选择全部，动作选择阻止。

6、点击【确定】保存规则，并确保该规则在列表中优先级高于其他放行规则。

三、启用联网控制限制高风险程序访问局域网

横向渗透常依赖PsExec、Mimikatz、Cobalt Strike Beacon等工具发起局域网通信。通过联网控制可精确禁止特定程序访问本地子网，实现最小权限网络访问控制。

1、进入【防护中心】→【系统防护】。

2、点击【联网控制】功能右侧的【立即配置】按钮。

3、将全局策略设为阻止联网，再单独添加例外。

4、点击【添加规则】→【浏览】选择需限制的程序（如psexec.exe、mimikatz.exe）。

5、在规则操作中选择阻止联网，并在下方勾选仅对局域网地址（192.168.x.x、10.x.x.x、172.16.x.x–172.31.x.x）生效。

6、点击【确定】完成规则部署。

四、开启恶意网址拦截阻断C2域名解析请求

部分横向渗透工具在执行前会尝试解析C2域名或下载载荷，若局域网DNS被劫持或存在恶意DNS服务器，该拦截可切断初始通信链路。

1、返回【防护中心】主界面。

2、点击【网络防护】选项卡。

3、找到【恶意网址拦截】功能项。

4、将其右侧开关切换为开启状态。

5、点击右侧【配置】按钮，在【自定义网址黑名单】中添加常见C2域名格式（如*.cobaltstrike.*、*.ngrok.io）及局域网内可疑Web管理地址（如http://192.168.1.1/admin）。