端口扫描很吵要不要管

公网上的服务器从上线第一分钟起就会被扫描，这是常态，不是针对性攻击，不必闻扫描色变，但也不能完全无视。 为什么总有扫描 自动化探测工具全天候轮扫全网段，收集开放端口和组件版本清单，这是攻击链的第一步。日志里常见的 22、3389、6379 端口探测，对应的是通用服务，不是冲你的业务来的，任何一台有公网 IP 的机器都躲不开。不同地址段的扫描频率有差异，取决于曝光历史，同一机房池子里的机器感受差不多。 扫描本身要不要慌 扫描不直接造成损失，真正值得警惕的是扫描之后的动作：对开放端口的高频爆破。判断标准看系统日志，/var/log/secure（Ubuntu 为 /var/log/auth.log）里 Failed password 持续增长，才需要立刻处理；纯粹的端口探测，保持关注即可。扫描来源换得很勤，封单个 IP 意义不大，缩小暴露面才是正解。 该做的是缩小暴露面 一是安全组只放行必要端口，80/443 之外逐个审核，SSH 的来源限制到办公网出口 IP，仅这一条就能挡掉绝大多数扫描和爆破；二是查本机监听： ss -tlnp 不用的服务直接关掉，常见的无用监听有 postfix（邮件）、rpcbind、cups（打印），比如 systemctl disable --now postfix；三是改 SSH 端口能明显减少扫描噪音，但它只是减噪，访问控制和密钥才是安全边界；四是配合高防云服务器的安全组做访问控制，顺云 S2 这类入门机型标配 60G DDoS 防御，端口策略仍要自己收紧。数据库、缓存这类服务一律只监听内网网卡，配置里把绑定地址改掉，比逐个封端口更彻底。 告警阈值怎么设 扫描不告警，爆破频次和异常登录成功才告警。规则举例：同一 IP 五分钟内失败登录超过二十次触发提醒，登录成功但来源是陌生地区触发强提醒。把告警留给真正需要响应的事件，不然天天狼来了，真出事反而麻木。告警要发到有人看的渠道才有意义，短信或群消息，只写进日志文件等于没配。每季度做一次端口盘点，新增监听逐个确认来源，暴露面才能一直保持干净。