端口扫描攻击如何防御

本文目录导读：

1. 减少攻击面：关闭不必要的端口和服务
2. 使用防火墙进行精细控制
3. 部署入侵检测/防御系统
4. 操作系统与应用层安全配置
5. 网络层伪装与混淆
6. 网络分段与隔离
7. 监控与日志分析
8. 防御体系建议

端口扫描攻击是网络攻击的常见前奏,攻击者通过扫描发现目标主机开放了哪些端口、运行了哪些服务，从而寻找漏洞进行下一步入侵，防御端口扫描攻击需要从网络层、系统层、应用层以及监控与响应多个维度入手。

以下是具体的防御策略和方法：

减少攻击面：关闭不必要的端口和服务

这是最根本、最有效的防御方法，端口扫描之所以有威胁，是因为开放的端口提供了“入口”。

• 最小化原则：只开放业务绝对必要的端口（如Web服务的80/443，SSH的22等），关闭所有测试、演示、未使用的服务（如Telnet、FTP、SMTP等）。
• 禁用不必要的协议：如IPv6（如果不用）、NetBIOS、SMB、LLMNR等。
• 操作系统自身加固：在Windows中禁用不必要的服务，在Linux中关闭不必要的守护进程。

使用防火墙进行精细控制

防火墙是第一道防线,可以有效过滤扫描流量。

• 默认拒绝规则：防火墙规则应设置为“默认拒绝所有”，然后只允许特定的、必要的流量通过。
• 限制源地址：
  • 对于管理端口（如SSH、RDP、数据库端口），只允许特定的IP地址或IP段访问（白名单）。
  • 对于Web服务,可以限制某些国家或地区的IP访问（GeoIP过滤）。
• 速率限制（Rate Limiting）：在防火墙上设置连接速率限制，限制单个IP在1分钟内发起的SYN连接请求数量，一旦超过阈值，直接丢弃后续数据包。
• 状态检测防火墙：使用支持TCP状态检测的防火墙，它可以自动阻止不符合TCP三次握手规范的异常数据包。

部署入侵检测/防御系统

IDS/IPS可以识别扫描行为并自动告警或阻断。

• 检测特征：现代IDS/IPS（如Snort、Suricata、华为HiSec、绿盟IPS等）包含大量端口扫描的特征规则，可以识别：
  • 垂直扫描：一个IP扫描主机的多个端口。
  • 水平扫描：一个IP扫描多个主机的同一个端口。
  • 隐蔽扫描：如SYN扫描、FIN扫描、NULL扫描等。
• 主动防御：IPS设备在检测到扫描行为后，可以自动添加临时防火墙规则，将发起扫描的IP列入黑名单（通常阻断一段时间，如24小时）。
• 蜜罐技术：在DMZ或内网部署蜜罐，诱导扫描者去扫描虚假端口，从而记录其行为并报警。

操作系统与应用层安全配置

• 禁用源路由：防止攻击者利用源路由技术绕过访问控制。
• TCP/IP堆栈加固：
  • SYN Cookie：开启SYN Cookie可以防御SYN Flood类型的扫描和攻击（在Linux中设置 net.ipv4.tcp_syncookies=1）。
  • 减少SYN超时时间：降低半连接队列的超时时间（tcp_synack_retries 和 tcp_retries2）。
  • 忽略ICMP重定向：防止攻击者通过ICMP重定向修改路由表。
• 服务端口绑定：将敏感服务（如数据库）绑定到回环地址（127.0.0.1）或内网专用IP，不监听公网接口。
• 使用非标准端口（慎用）：将SSH从22端口迁移到高位端口（如2222），可以避开一些自动化扫描器的“扫描默认端口”脚本。

网络层伪装与混淆

• 端口敲门（Port Knocking）：这是一种高级技术，防火墙在默认情况下关闭所有端口，只有客户端按照特定的顺序向一系列关闭的端口发送连接尝试（敲门），防火墙才会临时打开目标端口。
  • 优点：对外界完全不可见，扫描不到。
  • 缺点：配置复杂，需要客户端支持，会增加延迟。
• 单包授权（SPA, Single Packet Authorization）：端口敲门的增强版，客户端发送一个加密的、无状态的数据包，防火墙验证身份后短暂开放端口。

网络分段与隔离

• 划分VLAN：将关键服务器（如数据库、核心业务系统）放在独立的安全区域，即使攻击者扫描到某个IP开放了端口，也无法直接访问核心区域。
• DMZ区域：将对外提供Web服务的服务器放在DMZ，禁止DMZ主机直接访问内网数据库（需要经过跳转机或防火墙规则）。
• 零信任架构：不信任任何网络（包括内网），所有访问都需要持续验证和授权，这样，即使攻击者扫描到一个端口开放了，也无法直接使用该端口进行攻击，因为还需要身份认证。

监控与日志分析

• 启用详细日志：确保防火墙、服务器、IPS设备都记录了端口扫描相关的日志（源IP、时间、目的端口、动作等）。
• 日志告警：设置监控规则，同一源IP在5分钟内尝试连接超过10个不同端口，则触发告警通知管理员。
• 流量分析：利用Ntop、Zeek等工具分析网络流量模式，识别出异常的扫描行为（如高频率的SYN重传、大量RST包等）。

防御体系建议

防御端口扫描并不是为了彻底阻止（因为很难完全阻止，总有一些探测能到达边界），而是为了：

1. 降低被发现的概率：关闭端口、防火墙限流。
2. 提高攻击成本：让扫描者扫到一堆关闭的端口或虚假服务，消耗其时间。
3. 快速响应：一旦检测到扫描，自动封禁或告警，避免攻击者深入探测。

一个推荐的实施顺序：

1. 首要任务：关闭所有不必要的端口和服务（最小化攻击面）。
2. 核心措施：配置防火墙默认拒绝，并加上白名单和速率限制。
3. 增强防护：部署IPS/IDS进行自动阻断。
4. 高级措施：对于管理入口，使用端口敲门或零信任VPN（如OpenVPN WireGuard等，而不是直接暴露RDP/SSH）。

注意：在配置防御策略（特别是IPS阻断和防火墙限流）时，请先在测试环境中验证，避免误将合法的业务流量（如正常的Web API调用、CDN回源、内部监控等）当成扫描阻断。