【两高一弱】两高一弱之高危端口

高危端口：指在计算机网络中，由于其默认服务或功能的特性，容易被攻击者利用来进行非法访问、入侵或攻击的网络端口。常见的高危端口有:135、137、138、139、445、3389等。

高危端口问题门槛低，极易被别有用心之人攻击利用，进入后台获取权限、数据，轻易操作财务转账、计费修改、实时监控等等，对单位、企业的正常生产经营造成严重影响。

在计算机网络中，端口是一种用于区分不同网络服务或应用程序的逻辑地址。每个网络服务或应用程序都需要至少一个端口（号）来实现网络通信。当某个端口开放时，便能接收来自于其它计算机或网络设备的连接请求和数据。但同时，开放的端口也暴露了计算机、网络设备的服务或应用程序，使得攻击者可以通过扫描端口发现潜在的漏洞，进而实施网络攻击。高危端口便是被不法分子经常利用的端口。国家网络与信息安全信息通报中心排查梳理了近期安全风险突出的30个网络服务或应用程序对应的端口号，这些端口常被不法分子利用实施远程代码执行、拒绝服务等攻击。提醒广大网络运营者对自身网络、应用服务进行技术排查，对照此次提示内容关闭端口或进行技术加固。

序号	端口服务	端口号	所属类别
1	LDAP	389	不应暴露在互联网上的端口
2	SMB	445	不应暴露在互联网上的端口、经常被黑客攻击利用易存在漏洞的端口
3	MySQL	3306	不应暴露在互联网上的端口
4	Redis	6379	不应暴露在互联网上的端口
5	FTP	21	经常被黑客攻击利用、易存在漏洞的端口
6	Elasticsearch	9200	不应暴露在互联网上的端口、经常被黑客攻击利用、易存在漏洞的端口
7	Weblogic	7001	经常被黑客攻击利用、易存在漏洞的端口
8	RDP	3389	不应暴露在互联网上的端口
9	PostgreSQL	5432	不应暴露在互联网上的端口
10	Oracle	1521	不应暴露在互联网上的端口
11	Flink	8081	不应暴露在互联网上的端口、经常被黑客攻击利用、易存在漏洞的端口
12	Memcached	11211	经常被黑客攻击利用、易存在漏洞的端口
13	Kafka	9092	经常被黑客攻击利用、易存在漏洞的端口
14	MongoDB	27017/27018	不应暴露在互联网上的端口、没有实际价值但默认开放的端口
15	Hadoop	8019/8042/9000/8088	不应暴露在互联网上的端口、没有实际价值但默认开放的端口、经常被黑客攻击利用、易存在漏洞的端口
16	Zookeeper	3888	不应暴露在互联网上的端口、没有实际价值但默认开放的端口
17	Docker	2375	不应暴露在互联网上的端口
18	Nacos JRAFT	7848	不应暴露在互联网上的端口、经常被黑客攻击利用、易存在漏洞的端口
19	NFS	2049	经常被黑客攻击利用、易存在漏洞的端口
20	DB2/Sybase	5000	不应暴露在互联网上的端口
21	etcd	2379	不应暴露在互联网上的端口、经常被黑客攻击利用、易存在漏洞的端口
22	GlassFish	4848	经常被黑客攻击利用、易存在漏洞的端口
23	CouchDB	5984	不应暴露在互联网上的端口
24	InfluxDB	8083/8086	不应暴露在互联网上的端口
25	Rundeck	4440	经常被黑客攻击利用、易存在漏洞的端口
26	SSH	22	不应暴露在互联网上的端口、经常被黑客攻击利用、易存在漏洞的端口
27	Zookeeper	2181	经常被黑客攻击利用、易存在漏洞的端口
28	Symantec pcAnywhere	5631/5632	不应暴露在互联网上的端口
29	Supervisor	9001	经常被黑客攻击利用、易存在漏洞的端口
30	spark	7077	经常被黑客攻击利用、易存在漏洞的端口

安全防护提示

为避免开放端口变成黑客攻击的入口，在策略上应关闭不必要的端口，或使用更安全的协议，在技术上应强化认证和监测。广大网络运营者可以从以下几个方面降低高危漏洞安全风险。

一、管理端口对外暴露

1、最小化端口开放：仅开放业务必须的端口，关闭不必要的端口以减少攻击面。

2、优化防火墙策略：强化对必要端口的访问权限控制，仅允许受信任的IP地址访问关键端口。

3、限制服务默认端口使用：在部署服务时，尽量使用自定义端口代替默认端口，注意关闭一些服务、框架和组件默认开启的端口，以减少服务信息暴露。

4、建立端口服务管理机制：建立端口和服务关联关系台账，严禁端口使用未申请的服务；端口开放前需进行安全审批，并留存对应的变更审计日志。

二、加强认证和访问控制

1、多重验证：对远程访问和敏感端口实施多因素认证，防止未经授权的访问。

2、网络分段和微分区：将网络分置为不同区域，将重要的系统放在单独的区域内，限制高危端口的暴露范围，防止攻击行为扩散至网络多个部分。

三、实施安全监控和防护

1、建立监控防御机制：通过扫描测绘和内部审计，持续监控发现对外暴露的高危端口并第一时间进行处置；通过流量监控识别通过高危端口的恶意攻击流量，部署入侵防御系统及时进行攻击阻断。

2、日志记录与审计：对端口访问进行详细日志记录，定期审计以发现和应对潜在威胁。

3、探索应用反测绘等技术，隐藏或混淆端口服务信息，提高攻击者测绘和扫描成本。

四、使用安全协议

在充分评估系统兼容性、性能需求、安全要求、成本和法规要求等实际需求和环境条件的前提下，选择使用安全协议替代不安全协议，确保替代后既提升安全性，又不会给系统带来不必要的负担。常见的替代方案有采用SSH替代Telnet、HTTPS替代HTTP、FTPS/SFTP替代FTP、SMTPS替代SMTP、WebSockets over TLS （WSS）替代WebSockets等。