一、为什么要关注开放端口？

每个开放的端口都像是服务器上的一个"窗口"：

• 安全风险：SSH默认22端口每年遭遇数十亿次暴力破解
• 资源占用：未知服务可能消耗宝贵的内存和CPU资源
• 合规要求：PCI DSS等安全标准明确要求最小化开放端口

二、基础检测工具

1. netstat命令（经典但过时）

netstat -tuln | grep LISTEN

输出示例：

tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN

注意：新版本Linux已逐渐淘汰netstat，建议使用ss替代

2. ss命令（现代替代方案）

ss -tulnp | grep LISTEN

优势：

• 显示关联的进程ID和名称
• 执行速度比netstat快3倍
• 支持更丰富的过滤条件

三、高级检测技术

3. nmap网络扫描

从外部视角检测开放端口：

nmap -sT -p 1-65535 服务器IP

实用技巧：

• -sS：SYN扫描（需要root权限）
• -T4：加速扫描速度
• --top-ports 100：只扫描常见100个端口

4. lsof命令（查看文件关联）

lsof -i -P -n | grep LISTEN

特殊优势：可以查看哪个用户启动了监听服务

四、企业级解决方案

5. 防火墙日志分析

Ubuntu系统查看UFW日志：

sudo cat /var/log/ufw.log | grep -E "DPT=|SPT="

6. 安全基线检查工具

推荐工具：

• Lynis：开源安全审计工具
• OpenSCAP：自动化合规检查
• Cloud Provider自带的安全中心（如AWS Security Hub）

五、自动化监控方案

7. 使用Prometheus+Alertmanager

配置node_exporter的textfile收集器，定期执行端口检测脚本并生成指标。

8. 编写自定义监控脚本

#!/bin/bash
OPEN_PORTS=$(ss -tuln | awk 'NR>1 {print $5}' | cut -d: -f2 | sort -nu)
CRITICAL_PORTS="22 80 443"
for port in $OPEN_PORTS; do
    if ! [[ "$CRITICAL_PORTS" =~ "$port" ]]; then
        send_alert "异常端口 $port 开放"
    fi
done