Windows Server的防火墙select

如果不了解您的networking是如何devise和实施的，那么提出有针对性的build议是非常困难的。 这就是说，Microsoft堆栈在Forefront Security Suite中拥有一个非常成熟的软件防火墙产品（以及一些新增的客户端AV解决scheme）。

此链接详细介绍了全套Forefront产品 – http://technet.microsoft.com/zh-cn/forefront/default.aspx

当然，还有很多其他的select，我并不是说这是最好的select（在我的networking知之甚less的情况下这很难做到），但是防火墙组件是基于MS ISA Server产品已经存在了十年左右，非常强大。

如果您只是想保护主机操作系统，而不是为您的networking运行边缘防火墙服务，则Windows Server 2008附带的默认防火墙在默认情况下处于启用状态，而且我发现它们通常非常适合标准主机保护。 它缺乏完整的TMG套件的一些function，但通常我不会用第三方replace它。 事实上，如果您使用Forefront TMG系统结束工作，它将使用内置的Windows防火墙/ ICS服务来执行基本的数据包过滤/状态数据包检查任务。

大多数主要的反病毒供应商的安全套件也包含防火墙function。 我在家运行AVG套件，除了恶意软件和防病毒软件之外，还包括一个实时的SPI防火墙。 CA，Kapersky，McAfee和Symantec也有类似的产品，但是在Server版本的操作系统上购买时，它们往往会变得昂贵。

我不同意Windows防火墙已经build立的说法。

我不会认为它的确有所改进，还有许多长期存在的问题。

[在微软的防御中，许多像过滤出站stream量和一些真正令人发指的缺陷（如LanMAN攻击）这样的一般问题已经在一定程度上得到了缓解]

像SYN-FIN模糊之类的东西在某些方面仍然存在，取决于几个因素。 TTL操作（更stream行 – Firewalking）从来没有停止工作。 而且，随着ICMPv6路由器广告新品牌的不断发展，还发现防火墙在使用类似的ICMP头部中的不良数据的情况下容易受到远程代码执行的影响。

简而言之，我相信微软的防火墙对于严重的端点安全来说，就我所能抛弃它而言。

要扣掉ASA或Sonicwall可能很难，但是我认为当你阻止一个聪明的攻击者的时候你会很高兴。

如果您坚决反对服务器上的防火墙，卡巴斯基就像赛门铁克一样提供了一个体面的端点解决scheme。 如果你仍然觉得不得不使用Windows防火墙，那么一定要禁用尽可能多的有状态function（尽pipe可能违反直觉），因为这是大多数RCE缺陷将不可避免地出现的地方。