Windows 防火墙日志的用处
Windows 防火墙默认不记录日志，这意味着被策略静默丢弃的扫描与爆破尝试完全看不见。开启被拒记录后，可以按来源 IP 与目标端口做统计，配合安全组或 IPS 处置。日志只记录决策结果，不包含载荷内容，因此定位仍需结合其他数据源。
基本信息
| 适用平台 | Windows（三个配置文件：Domain、Private、Public） |
|---|---|
| 配置命令 | Set-NetFirewallProfile -LogBlocked 与 netsh advfirewall set allprofiles logging |
| 默认落点 | %windir%\system32\LogFiles\Firewall\pfirewall.log |
| 基线 | 已启用被拒日志，容量与轮转受控 |
典型使用场景
- 边界主机监控：观察被拒的目标端口分布，识别扫描行为
- 策略变更验证：确认新放行的规则确实生效、其余仍被拦
- 排障对照：业务不通时先看是否有对应被拒记录
- 合规取证：为「边界访问控制有效」提供可检索的日志证据
启用日志并查看
启用日志并查看
# 开启被拒日志，容量设为 20MB 左右（按需调整）
Set-NetFirewallProfile -Profile Domain,Private,Public -LogBlocked True -LogAllowed False -LogMaxSizeKilobytes 20480
# 等价的 netsh 写法
netsh advfirewall set allprofiles logging droppedconnections enable
# 查看最近的记录
type "$env:windir\system32\LogFiles\Firewall\pfirewall.log" | Select-Object -Last 40日志字段读法
| 字段 | 含义 | 判读要点 |
|---|---|---|
| date / time | 记录时间 | 与业务故障时间对齐，判断是否为策略原因 |
| action | 动作 | DROP 表示被拒，是主要关注对象 |
| src-ip / dst-ip | 来源与目标地址 | 重复出现的来源可进入封禁候选 |
| dst-port | 目标端口 | 大量同一端口被拒通常是扫描 |
| protocol | 协议 | 结合端口判断业务类型 |
日志仅记录决策结果，不记载荷内容：判读时关注重复出现的来源 IP 与目标端口，配合上游安全组或防护设备处置更有效。
LogAllowed 打开会让日志量爆炸：常规取舍是只记被拒流量；容量设置过小会很快覆盖，事件排查窗口非常短。
判读时先按目标端口聚合再看来源：同一端口被大量来源尝试通常是全网扫描，单一来源反复尝试则更接近定向爆破，处置方式不同，前者靠边界策略，后者适合定点封禁并观察是否复发。
日志开启后要纳入日常巡检：只开不看等于没开，建议每周抽样一次，关注被拒端口中是否出现业务端口。