这一类问题在说什么
高危端口开放与不必要服务指服务器上运行着无人管理却对外可达的服务：Redis 未授权访问、MongoDB 无认证、远程桌面暴露公网、Elasticsearch 全开。它们大多来自测试或调试时的临时安装，之后没人清理，成为攻击面里最容易被利用的部分。对应条款是访问控制与入侵防范中关于服务最小化与攻击面收敛的要求。
收敛做法
收敛做法
# 四步收敛
1 盘点：全量扫描资产端口，核对每个端口对应的业务必要性
2 关闭：停止不必要服务与端口，卸载无用组件
3 限制：必要端口按来源白名单开放，不对外开放
4 加固：数据库与缓存加认证与访问控制，禁用公网直连端口盘点与最小暴露
端口盘点与最小暴露
# 主机侧：列出监听端口与对应进程
ss -tulnp
# Redis 收敛示例（redis.conf）
# bind 127.0.0.1
# requirepass <强口令>
# 防火墙：必要端口仅按来源放行
firewall-cmd --permanent --add-rich-rule='rule family=ipv4 source address=10.20.30.0/24 port port=6379 protocol=tcp accept'
firewall-cmd --reload高频高危服务
| 服务 | 常见问题 | 收敛方向 |
|---|---|---|
| Redis | 无口令、绑定全网卡 | 绑定本机或内网、启用认证 |
| MongoDB | 未启用认证、默认端口开放 | 开启认证并限制来源 |
| Elasticsearch | 无认证且监听公网 | 加认证、限源、不经公网暴露 |
| 远程桌面 | 直接暴露公网 | 经 VPN 或堡垒机接入 |
| 数据库 | 业务库端口对全网开放 | 按应用来源放行 |
典型使用场景
- 测评前自查：端口扫描是最容易查出问题的动作之一
- 暴露面收敛专项：把公网可达端口清单压到最小集合
- 新系统上线：上线检查单强制核对监听端口与业务必要性
- 内网治理：清理测试遗留服务，减少横向利用路径
只封网络层、不开主机防火墙不够：内网横向访问依然可直达服务，主机侧也要配置本地防火墙或服务绑定地址。
Redis、Elasticsearch 这类默认无认证服务是扫描器重点目标，一旦暴露公网，短时间内就会被写入异常数据或被用于扩权。