日志管理第四部分：如何防止黑客通过端口扫描进行网络攻击？

我们都知道公司网络中开放的端口越多，遭受网络攻击的可能性就越大，就越容易发生数据泄露事件。

在本系列前几篇文章中，我们了解到了如何使用网络设备日志来检测网络中的安全隐患和危险操作。在最后这篇博客中，我们将讨论与开放端口相关的网络安全隐患。

网络中的端口

据统计，总共有65,535个TCP和UDP端口号，其中1,024个是标准端口号或“知名”端口号。IANA（互联网号码分配局）为每个端口分配了特定的Internet服务。当需要访问计算机上的服务时，会向关联的端口发送连接请求。

端口的三种状态：打开、关闭和阻塞。根据端口的使用状态，下面是计算机响应不同的端口的连接请求：

• 端口已打开：允许请求建立连接。
• 端口已关闭：该端口正在使用中，无法连接。
• 端口被阻止：未发出响应。

什么是端口扫描攻击？

端口扫描是一种攻击方式，攻击者将请求发送到目标服务器或工作站的IP地址，以发现打开的端口，并利用分配的服务中的漏洞进行攻击。

端口扫描攻击通常是重大网络攻击的一部分。攻击者使用端口扫描工具执行ping扫描、SYN扫描、FTP退回扫描等。由于使用了TCP标志，因此大多数此类活动事件都不会被设备和防火墙记录下来；这使得端口扫描攻击更加难以被检测到。WannaCry、NotPetya、Mirai、ADB.Miner和PyRoMine等都是通过占用端口的方式在全球范围进行勒索软件攻击。

以下是一些最常用的端口：

端口号	分配的服务	漏洞利用
21（TCP）