了解端口和開(kāi)放端口的風(fēng)險(xiǎn)

什么是端口？

端口（Port）在網(wǎng)絡(luò)技術(shù)中，特別是在TCP/IP協(xié)議中，指的是一種邏輯地址，用于區(qū)分不同的網(wǎng)絡(luò)服務(wù)或應(yīng)用程序。端口號(hào)由數(shù)字表示，范圍從0到65535。每個(gè)網(wǎng)絡(luò)服務(wù)或應(yīng)用程序都需要一個(gè)唯一的端口號(hào)來(lái)確保網(wǎng)絡(luò)通信的準(zhǔn)確性和有序性。從物理層面看，端口也指計(jì)算機(jī)或其他網(wǎng)絡(luò)設(shè)備上的物理接口，如RJ-45端口、SC端口等，用于連接網(wǎng)絡(luò)設(shè)備并確保數(shù)據(jù)的順暢傳輸。

什么是開(kāi)放端口？

開(kāi)放端口（Open Port）在網(wǎng)絡(luò)通信中指的是一個(gè)計(jì)算機(jī)或網(wǎng)絡(luò)設(shè)備上的端口，該端口被配置為允許接收和發(fā)送數(shù)據(jù)。端口是網(wǎng)絡(luò)通信中的一個(gè)邏輯通道，用于區(qū)分不同的網(wǎng)絡(luò)服務(wù)或應(yīng)用程序。每個(gè)網(wǎng)絡(luò)服務(wù)或應(yīng)用程序通常都會(huì)綁定到一個(gè)或多個(gè)特定的端口號(hào)上，以便在網(wǎng)絡(luò)中進(jìn)行通信。當(dāng)一個(gè)端口被開(kāi)放時(shí)，它意味著該端口上的服務(wù)或應(yīng)用程序已經(jīng)準(zhǔn)備好接收來(lái)自其他計(jì)算機(jī)或網(wǎng)絡(luò)設(shè)備的連接請(qǐng)求和數(shù)據(jù)。這種開(kāi)放狀態(tài)使得網(wǎng)絡(luò)服務(wù)或應(yīng)用程序能夠與其他計(jì)算機(jī)或設(shè)備進(jìn)行交互，從而實(shí)現(xiàn)各種網(wǎng)絡(luò)功能，如文件傳輸、遠(yuǎn)程登錄、網(wǎng)頁(yè)瀏覽等。然而，開(kāi)放端口也帶來(lái)了一定的安全風(fēng)險(xiǎn)。因?yàn)殚_(kāi)放端口暴露了計(jì)算機(jī)或網(wǎng)絡(luò)設(shè)備的服務(wù)或應(yīng)用程序，使得黑客可以通過(guò)掃描端口來(lái)發(fā)現(xiàn)潛在的漏洞或弱點(diǎn)，并進(jìn)行網(wǎng)絡(luò)攻擊。因此，在開(kāi)放端口時(shí)，需要采取適當(dāng)?shù)陌踩胧﹣?lái)保護(hù)計(jì)算機(jī)或網(wǎng)絡(luò)設(shè)備免受攻擊。常見(jiàn)的安全措施包括使用防火墻來(lái)限制對(duì)開(kāi)放端口的訪問(wèn)、配置強(qiáng)密碼和認(rèn)證機(jī)制來(lái)保護(hù)服務(wù)或應(yīng)用程序的訪問(wèn)權(quán)限、定期更新系統(tǒng)和應(yīng)用程序以修復(fù)已知漏洞等。此外，還需要注意避免開(kāi)放不必要的端口，以減少潛在的安全風(fēng)險(xiǎn)。

知名端口（Well-known Ports）：也叫系統(tǒng)端口（System Ports），端口號(hào)范圍0-1023。知名端口由 ICANN（The Internet Corporation for Assigned Names and Numbers，互聯(lián)網(wǎng)名稱與數(shù)字地址分配機(jī)構(gòu)）分配給常用的服務(wù)。知名端口與服務(wù)具有緊密的聯(lián)系。通常說(shuō)采用某知名端口通信，即表明采用該端口對(duì)應(yīng)的服務(wù)。例如，22表示SSH，23表示Telnet。

注冊(cè)端口（Registered Ports）：也叫用戶端口（User Ports），端口號(hào)范圍1024-49151。注冊(cè)端口由IANA（Internet Assigned Numbers Authority，互聯(lián)網(wǎng)數(shù)字分配機(jī)構(gòu)）管理，組織可以向IANA申請(qǐng)某端口為應(yīng)用程序的注冊(cè)端口。例如，3389是微軟為RDP（Remote Desktop Protocol，遠(yuǎn)程桌面協(xié)議）申請(qǐng)的注冊(cè)端口。

私有端口（Private Ports）：也叫動(dòng)態(tài)端口（Dynamic Ports），端口號(hào)范圍49152-65535。不應(yīng)該為服務(wù)分配動(dòng)態(tài)端口。動(dòng)態(tài)端口是主機(jī)與服務(wù)端通信時(shí)，臨時(shí)分配給應(yīng)用程序的端口。通信結(jié)束后，該端口即被釋放。不過(guò)，在實(shí)際應(yīng)用中，主機(jī)通常從1024起分配動(dòng)態(tài)端口。

端口號(hào)與服務(wù)的分配關(guān)系，可參考IANA網(wǎng)站。

開(kāi)放端口有什么風(fēng)險(xiǎn)？

1、網(wǎng)絡(luò)攻擊

掃描與入侵：開(kāi)放的端口暴露了服務(wù)器的服務(wù)，使得黑客可以通過(guò)掃描端口來(lái)發(fā)現(xiàn)服務(wù)器的漏洞或弱點(diǎn)，從而進(jìn)行網(wǎng)絡(luò)攻擊。例如，遠(yuǎn)程代碼執(zhí)行、弱口令爆破、拒絕服務(wù)攻擊（DDoS）等。

傀儡網(wǎng)絡(luò)攻擊：部分惡意軟件和黑客利用開(kāi)放端口將服務(wù)器作為傀儡網(wǎng)絡(luò)的一部分，用于發(fā)動(dòng)分布式拒絕服務(wù)（DDoS）攻擊或傳播惡意軟件。

2、惡意軟件

病毒與蠕蟲(chóng)：黑客可以通過(guò)開(kāi)放的端口將惡意軟件（如病毒、蠕蟲(chóng)）傳輸?shù)椒?wù)器，進(jìn)而在服務(wù)器上進(jìn)行惡意活動(dòng)。這可能導(dǎo)致數(shù)據(jù)泄露、信息丟失或篡改等安全問(wèn)題。

后門(mén)程序：黑客還可以利用開(kāi)放端口在服務(wù)器上植入后門(mén)程序，這些程序可以在不被察覺(jué)的情況下遠(yuǎn)程控制服務(wù)器，并執(zhí)行惡意操作。

3、數(shù)據(jù)泄露

敏感數(shù)據(jù)泄露：一旦服務(wù)器的端口被黑客攻破，他們可以利用這個(gè)漏洞獲取服務(wù)器上的敏感數(shù)據(jù)，例如用戶信息、登錄憑證、數(shù)據(jù)庫(kù)內(nèi)容等。這將對(duì)用戶和組織的隱私和安全造成重大損害。

信息竊取：攻擊者可以利用開(kāi)放的端口非法訪問(wèn)服務(wù)器上的數(shù)據(jù)，進(jìn)行竊取、篡改或刪除等操作。

4、未授權(quán)訪問(wèn)

非法訪問(wèn)：開(kāi)放的端口可能會(huì)導(dǎo)致未經(jīng)授權(quán)的訪問(wèn)，使得黑客可以通過(guò)遠(yuǎn)程訪問(wèn)服務(wù)器并進(jìn)行非法操作。這可能涉及未經(jīng)授權(quán)的文件上傳、代碼執(zhí)行等風(fēng)險(xiǎn)，從而對(duì)服務(wù)器和其它用戶造成威脅。

內(nèi)部威脅：除了外部攻擊者，內(nèi)部員工或合作伙伴也可能利用其合法訪問(wèn)權(quán)限進(jìn)行不當(dāng)操作或數(shù)據(jù)泄露。

5、性能影響

資源消耗：開(kāi)啟大量不必要的端口會(huì)消耗服務(wù)器資源，如內(nèi)存和CPU，因?yàn)槊總€(gè)開(kāi)放的端口都需要系統(tǒng)維護(hù)一定量的連接狀態(tài)信息。這可能導(dǎo)致服務(wù)器響應(yīng)變慢，影響正常服務(wù)的運(yùn)行效率。

服務(wù)中斷：在極端情況下，如DDoS攻擊，大量請(qǐng)求會(huì)占用服務(wù)器資源，導(dǎo)致服務(wù)中斷。

為什么安全專(zhuān)家建議僅開(kāi)放必要的端口？

端口是為通信而存在的。組織應(yīng)實(shí)施必要的審核程序，以確定是否開(kāi)放端口。如果有運(yùn)行某個(gè)服務(wù)的需求，開(kāi)放相應(yīng)的端口是有意義的。這時(shí)，應(yīng)從合法渠道獲取應(yīng)用軟件、及時(shí)檢查安全漏洞并實(shí)施安全加固措施，然后再正式開(kāi)放端口。

如前所述，開(kāi)放任何端口都會(huì)增加攻擊面，并增加受到威脅的可能性。如果沒(méi)有合理的通信需求，不要開(kāi)放端口。

組織內(nèi)部網(wǎng)絡(luò)中有大量計(jì)算機(jī)，每臺(tái)計(jì)算機(jī)上都可能開(kāi)放了非必要的端口。你可以逐個(gè)計(jì)算機(jī)去關(guān)閉端口，也可以把這項(xiàng)工作交給防火墻。防火墻通常部署在網(wǎng)絡(luò)的出口，在防火墻上可以阻斷此類(lèi)端口與外部網(wǎng)絡(luò)的通信。想象你有一個(gè)四合院（網(wǎng)絡(luò)），你可以關(guān)閉每個(gè)房間（計(jì)算機(jī)）的門(mén)窗（端口），你也可以依賴院墻，然后守好四合院的大門(mén)。

如何評(píng)估端口安全風(fēng)險(xiǎn)？

檢查開(kāi)放的端口。使用開(kāi)源的端口掃描工具（如Nmap）或者部署華為漏洞掃描產(chǎn)品VSCAN，可以發(fā)現(xiàn)網(wǎng)絡(luò)中開(kāi)放的端口。

評(píng)估開(kāi)放端口的必要性。安全專(zhuān)家建議，僅在特定設(shè)備上開(kāi)放必要的端口，非必要的端口應(yīng)立即關(guān)閉。如果掃描結(jié)果中出現(xiàn)了未主動(dòng)開(kāi)放的端口，請(qǐng)檢查主機(jī)是否被植入了木馬程序。

評(píng)估開(kāi)放端口的安全性。了解每個(gè)端口上承載的服務(wù)，了解端口可能的風(fēng)險(xiǎn)。端口的安全風(fēng)險(xiǎn)可以從三個(gè)方面來(lái)評(píng)估。

可被利用：端口所承載的服務(wù)和應(yīng)用程序存在安全漏洞，就可能被攻擊者利用。

常被利用：攻擊者經(jīng)常使用的端口，風(fēng)險(xiǎn)更大。典型的如網(wǎng)絡(luò)管理員廣泛使用的RDP遠(yuǎn)程連接服務(wù)、FTP文件傳輸服務(wù)、Web應(yīng)用程序等。

開(kāi)放范圍：開(kāi)放在公網(wǎng)上的端口，都可能受到攻擊。非必要的端口，不要暴露在公網(wǎng)上；有業(yè)務(wù)需要的，必須做好安全防護(hù)。

根據(jù)風(fēng)險(xiǎn)等級(jí)，端口可以簡(jiǎn)單分類(lèi)如下，風(fēng)險(xiǎn)等級(jí)依次降低。

高危端口：開(kāi)放在公網(wǎng)上的、極度危險(xiǎn)的端口。這些端口承載的服務(wù)曾經(jīng)造成廣泛的安全事件，因此深受攻擊者青睞，無(wú)時(shí)無(wú)刻不被各種自動(dòng)化攻擊工具掃描著，風(fēng)險(xiǎn)極高。請(qǐng)參考如何封禁高危端口，在防火墻上封禁常見(jiàn)的高危端口。

高危服務(wù)：開(kāi)放在公網(wǎng)上的、采用非標(biāo)準(zhǔn)端口的高危服務(wù)，例如開(kāi)放在3399端口上的RDP服務(wù)。RDP服務(wù)的默認(rèn)端口是3389，修改端口號(hào)可以增加攻擊者發(fā)現(xiàn)風(fēng)險(xiǎn)服務(wù)的時(shí)間成本，可以在一定程度上提高安全性，因此高危服務(wù)的風(fēng)險(xiǎn)等級(jí)低于高危端口。但是這種提高的程度非常有限，請(qǐng)參考如何保護(hù)風(fēng)險(xiǎn)端口，為高危服務(wù)增強(qiáng)安全防護(hù)。

風(fēng)險(xiǎn)端口：開(kāi)放在公網(wǎng)的端口。如果這些開(kāi)放端口是正常的業(yè)務(wù)需要，請(qǐng)參考如何保護(hù)風(fēng)險(xiǎn)端口，做好安全防護(hù)。

常見(jiàn)高危端口

常見(jiàn)的高危端口主要有以下五類(lèi)，表1-1提供了常見(jiàn)高危端口的不完全列表，供參考。

遠(yuǎn)程管理服務(wù)：遠(yuǎn)程運(yùn)維是企業(yè)IT運(yùn)維人員的日常工作，而多數(shù)遠(yuǎn)程管理服務(wù)都是攻擊者的首選目標(biāo)，直接開(kāi)放風(fēng)險(xiǎn)巨大。建議部署運(yùn)維審計(jì)系統(tǒng)（如華為UMA1000），并通過(guò)VPN接入內(nèi)網(wǎng)后登錄。如未部署運(yùn)維審計(jì)系統(tǒng)，請(qǐng)務(wù)必選擇安全的加密應(yīng)用，如SSHv2。

局域網(wǎng)服務(wù)：這些服務(wù)端口安全漏洞多，常被攻擊者利用，造成嚴(yán)重的安全事件。此類(lèi)服務(wù)主要應(yīng)用于企業(yè)內(nèi)網(wǎng)訪問(wèn)，完全可以在出口防火墻上封禁。一般情況下，企業(yè)自建DNS服務(wù)器僅限于解析自有域名，不會(huì)對(duì)外開(kāi)放，因此可以在互聯(lián)網(wǎng)出口防火墻上封禁DNS服務(wù)。

互聯(lián)網(wǎng)服務(wù)：SMTP、POP3、IMAP等郵件協(xié)議在設(shè)計(jì)之初沒(méi)有內(nèi)置安全性，請(qǐng)使用SSL/TLS加密保護(hù)。同樣，如果需要對(duì)外提供Web服務(wù)，請(qǐng)使用HTTPS協(xié)議替代HTTP。

數(shù)據(jù)庫(kù)：所有的數(shù)據(jù)庫(kù)端口都不應(yīng)該對(duì)外開(kāi)放。

木馬常用端口：攻擊者在主機(jī)中植入木馬以后，會(huì)在失陷主機(jī)中開(kāi)放后門(mén)端口。常用的后門(mén)端口很多，如123、1234、12345、666、4444、3127、31337、27374等。在病毒爆發(fā)時(shí)期，請(qǐng)封禁此類(lèi)端口。