Nessus 服务端口 1241
1241 是 Nessus 在 IANA 登记的服务端口，登记人为 Jordan Hrycaj。它属于安全工具端口而非业务端口，内网出现该端口通常意味着存在扫描类资产。Nessus 的 Web 管理界面默认在 8834，扫描任务、插件与报告都从那里管理；1241 更偏历史登记，资产盘点时把它与 8834 放在一起看更容易弄清归属。
基本信息
| 服务 | Nessus（Tenable 漏洞扫描器） |
|---|---|
| 端口/协议 | TCP 1241 |
| 配套端口 | 8834 为 Web 管理控制台 |
| 端口性质 | 安全工具登记端口，非业务服务 |
| 权限要求 | 安全团队管理，扫描账号独立 |
| 安全等级 | 仅安全团队网段可达 |
典型处置场景
- 资产盘点：确认内网是否存在扫描器与安全工具主机
- 合规核查：解释扫描类端口的来源与用途
- 边界策略：把安全工具端口收敛到安全团队网段
- 应急响应：用扫描日志与端口记录做关联分析
- 版本管理：核对扫描器版本与插件更新状态
占用与配套端口核查
占用与配套端口核查
ss -lntup 'sport = :1241' # 查看是否有进程监听
sudo lsof -i :1241 # 反查占用进程与可执行文件
sudo lsof -i :8834 # 控制台端口一并核对
netstat -ano | findstr :1241 # Windows 侧查看监听与 PID
# 归属确认后：记录主机、版本与责任人，并限制访问来源端口与角色分工
| 对象 | 角色 | 关注点 |
|---|---|---|
| 1241 | 历史登记的服务端口 | 出现通常说明存在安全工具资产 |
| 8834 | Web 管理控制台 | 凭据与扫描结果集中于此，须限制访问 |
| 扫描流量 | 随机高位端口 | 连接日志量大，异常时先核对扫描计划 |
运维要点
- 扫描器主机单独划分网段或用地址白名单收敛来源
- 扫描凭据使用专用低权账号，与运维账号体系分离
- 扫描计划避开业务高峰，避免影响生产同时淹没告警日志
- 把扫描结果的处理责任落到具体团队，形成闭环
- 定期更新插件并对更新失败的原因做记录
扫描器本身属于高价值目标：它持有被扫描主机的凭据与完整弱点清单。核对资产时把控制台访问范围与扫描账号权限一起审计，比单纯看端口更有意义。
把扫描器接入业务网段并对所有目标做认证扫描，等同于在网内集中存放大量主机凭据。应使用专用低权账号，并避免把控制台暴露到不受控网络。