存活主机怎么发现
内网评估的第一步是确定哪些地址上有主机，难点在于防火墙普遍屏蔽 ICMP，只靠 ping 会大量漏报。稳妥做法是多协议组合：同网段优先用 ARP（二层可达，不受上层过滤影响），跨网段用 TCP 常见端口与 ICMP 回显组合探测，并记录用了哪些探测方式。探测策略上按网段分批、限速、记录时间窗口，既能控制噪音，也方便与客户的告警日志对齐。
基本信息
| 探测协议 | ARP（同网段）、TCP 常见端口、ICMP 回显 |
|---|---|
| 常用命令 | nmap -sn、arp-scan、netdiscover；Windows 可用 arp -a 查看缓存 |
| 策略 | 按网段分批、显式限速、记录探测时间 |
| 产出 | 存活清单，逐条标注置信度与判定依据 |
| 前提 | 双方约定扫描窗口，向客户安全团队报备 |
典型使用场景
- 内网评估开始时建立存活资产底表
- 核对客户台账与实际在线主机是否一致，发现未登记的影子资产
- 变更后复核：新接入的设备是否出现在规划外的网段
- 找回长期无人登录但仍在运行的服务器
- 为后续端口扫描划定范围，避免对不存在的主机浪费请求
组合示例
组合示例
nmap -sn -PE -PS22,80,443 -T3 10.0.10.0/24 # 跨网段：ICMP + 端口组合
nmap -sn -n --reason 10.0.10.0/24 # --reason 输出判定依据，便于解释漏报
arp-scan --interface eth0 --localnet --rate 200 # 同网段：二层探测更可靠
nmap -sn -PR 10.0.10.0/24 # 显式使用 ARP 探测
# 分批执行并记录时间；每批之间留出间隔，避免瞬时流量峰值判定依据读法
| 判定依据 | 含义 | 可信度 |
|---|---|---|
| arp-response | 二层收到应答 | 高，同网段最可靠 |
| echo-reply | ICMP 回显应答 | 高，但被屏蔽时不可用 |
| syn-ack 或 reset | TCP 端口有响应 | 高，说明主机存在 |
| no-response | 无任何应答 | 不能判定不存在，需换协议复测 |
防火墙常屏蔽 ICMP：多协议组合后仍无应答的主机，标注「疑似存活待确认」，避免漏报和误判两条错误都犯。
不要一次性扫描整个企业网段：流量峰值会触发 IPS 告警，也可能影响核心链路质量，按网段分批并与客户同步窗口。