T1686.003: Windows 主机防火墙

摘要

攻击者可能禁用或修改 Windows 主机防火墙，以绕过限制网络使用的控制。这可能包括完全禁用 Windows 主机防火墙、抑制特定配置文件（域、专用、公用），或添加、删除和修改防火墙规则以允许或限制流量。(Citation: Nearest Neighbor Volexity) 攻击者可能根据 Windows 操作系统和访问级别通过多种机制执行这些修改。例如，攻击者可能使用命令行实用程序（例如：`netsh advfirewall` 或诸如 `Set-NetFirewallProfile`、`New-NetFirewallRule` 之类的 PowerShell cmdlet）、Windows 注册表修改（例如：通过注册表键更改防火墙状态和规则配置），或 Windows 控制面板通过 Windows 安全界面修改防火墙设置。 通过禁用或修改 Windows 防火墙服务，攻击者可能启用对远程服务的访问、打开用于命令与控制流量的端口，或配置规则以供进一步行动。