| 核查 | HTTP API 可达、ACL、Web UI |
|---|---|
| 信号 | 匿名可读取服务目录 |
| 处置 | 启用 ACL + 网络收敛 + UI 限制 |
只读检查示例
只读检查示例
curl -s --max-time 3 http://10.0.30.7:8500/v1/status/leader
curl -s http://10.0.30.7:8500/v1/catalog/services | head
# 记录可读性结论，不修改任何配置服务目录泄露可辅助攻击面梳理：按信息价值与可达范围定级。
Consul 暴露检查
Consul 的 HTTP API 与服务目录未加防护时可被读取甚至改配置：核查端口可达性与 ACL 启用情况。
易错点
- 修改服务注册验证影响，破坏集群状态
- 忽略 DNS 接口与 UI 的独立暴露
数据来源与参考
- HashiCorp Consul 官方文档（ACL）
- CIS Benchmarks（通用服务）