Windows 防火墙本身不提供入侵检测能力，但可通过启用日志记录（如DROP/ALLOW、IN/OUT、源/目标IP端口等字段），结合高频扫描、异常出站、伪装流量等模式分析，辅助识别潜在入侵行为，并需联动安全日志、DNS日志和进程排查交叉验证。
windows 防火墙本身不直接提供“入侵检测”能力，但它能记录所有被阻止的入站/出站连接，这些拦截日志是排查潜在入侵行为的第一手线索。关键不是等攻击发生后才响应，而是把防火墙日志当作日常安全哨兵来用。
开启并查看防火墙日志文件
默认情况下，Windows 防火墙日志是关闭的，必须手动启用：
- 打开「控制面板 → 系统和安全 → Windows Defender 防火墙 → 高级设置」
- 右键左侧「监视」→「属性」，切换到「常规」选项卡
- 勾选「记录安全连接」，点击「自定义」设置日志路径（如 C:\Windows\System32\LogFiles\Firewall\pfirewall.log）、最大大小（建议 ≥16MB）和日志格式（推荐W3C 扩展日志文件格式）
- 在「入站连接」和「出站连接」下拉菜单中，选择「记录已丢弃的数据包」和「记录成功的连接」（后者有助于基线建模）
日志启用后，可用记事本、Excel 或 PowerShell 快速查看：Get-Content "C:\Windows\System32\LogFiles\Firewall\pfirewall.log" -Tail 50
重点关注字段：日期、时间、源IP、目标IP、协议、源端口、目标端口、操作（ALLOW / DROP）、方向（IN / OUT）、规则名称。
识别高风险拦截模式
单条 DROP 记录不可怕，但特定组合暴露真实威胁：
windows-shell
下载
Windows 命令行编码与兼容规范。涵盖 GBK/UTF-8 编码、PowerShell/pwsh 互操作、Python/Node.js、Git 配置及代码生成规则。适用于 Windows 10/11 + MSYS2/Git Bash 环境下的所有命令行操作。
- 高频端口扫描痕迹：同一源IP在短时间内（如5分钟内）尝试连接多个不同端口（21、22、23、80、443、3389、445等），且操作均为 DROP —— 很可能是自动化探测
- 异常出站连接被拦：内网主机主动连接境外IP的非常用端口（如 5555、7777、4444），或尝试访问已知恶意域名的IP，说明主机可能已被植入木马
- 绕过白名单的伪装行为：源端口为 53（DNS）或 443，但目标非可信DNS服务器或业务域名，且协议字段显示为 UDP/TCP 混用 —— 可能是 DNS 隧道或 HTTPS C2 流量被拦截
- 匹配已知攻击特征：如源IP来自 Tor 出口节点、已知僵尸网络C2地址段，或目标端口为 RPC（135）、SMB（445）、RDP（3389）且来自公网 —— 需立即隔离并溯源
用命令行快速定位可疑活动
无需图形界面，管理员权限下即可高效筛查：
- 查最近100条被拦截的入站连接：
findstr "DROP IN" "C:\Windows\System32\LogFiles\Firewall\pfirewall.log" | Select-Object -Last 100 - 统计最常触发拦截的源IP（Top 5）：
Get-Content "pfirewall.log" | Where-Object { $_ -match "DROP.*IN" } | ForEach-Object { $_.Split()[3] } | Group-Object | Sort-Object Count -Descending | Select-Object -First 5 - 关联进程排查（需配合 netstat）：
若发现某IP频繁被拦，执行netstat -ano | findstr ":"查看监听该端口的PID，再用tasklist /FI "PID eq <pid>"</pid>确认进程名与路径
联动其他日志增强判断力
防火墙日志只是拼图一角，必须交叉验证才能确认是否为真实入侵：
- 若某IP被防火墙 DROP 多次，同时 Windows 安全日志（Security.evtx）中出现大量事件ID 4625（登录失败） 或 4672（特权登录），极可能正在遭受暴力破解
- 若出站连接被拦，而系统日志中存在事件ID 4688（新进程创建） 调用
powershell.exe -enc或certutil.exe -decode，基本可判定为恶意载荷回连行为 - 结合 DNS 日志（System.evtx 中事件ID 3006 或 DNS Server 日志）：若防火墙拦了某IP，而DNS日志显示该主机刚解析过可疑域名（如 fastflux 域名、DGA生成域名），攻击链就闭环了
