端口与体系
394 对应 IANA 登记的 embl-ndt（EMBL Nucleic Data Transfer），是欧洲分子生物学实验室 EMBL 核酸序列数据库在早期以网络方式分发数据时使用的传输端口。数据库发布方式后来转向 FTP、HTTP 与云对象存储，该端口在公网和内网都已基本绝迹，属于历史登记项。今天真正会用到它的场合是资产梳理与安全扫描报告的解读：看到 394 上有监听或外联，需要判断它究竟是不是这个协议。
基本信息
| 服务名称 | embl-ndt |
|---|---|
| IANA 登记说明 | EMBL Nucleic Data Transfer |
| 传输协议 | TCP 与 UDP |
| 登记机构 | Peter Gad |
| 所属体系 | EMBL 核酸序列数据库分发 |
| 当前状态 | 已被 FTP/HTTP 分发取代，无公开实现 |
典型使用场景
- 资产梳理：把全网监听端口与业务台账对齐时，判断 394 是否属于已知业务
- 扫描报告解读：扫描器按登记名标注 embl-ndt，需要与主机上真实进程比对
- 老系统迁移评估：生物信息类历史系统退役前，确认是否还有脚本依赖该分发通道
- 未知服务处置：内网出现无主监听时，先取证再决定是否阻断或下线
- 边界策略审计：核对防火墙与 ACL 里是否残留针对 394 的放行条目，及时回收
定位占用进程
定位占用进程
# Linux：按端口过滤监听套接字，连带显示进程
ss -lntup 'sport = :394'
# 权限不足时看不到进程字段，用 lsof 交叉验证（需 root）
sudo lsof -i :394
# 查看是否已有对端连接，判断是被扫还是有真实业务
ss -tnp | grep ':394'
# Windows：先取 PID 再反查进程名
tasklist /FI "PID eq 1234"
# PowerShell 写法更直观
Get-NetTCPConnection -LocalPort 394 | Select-Object LocalAddress,State,OwningProcess排查动作对照
| 排查场景 | 命令 | 判读要点 |
|---|---|---|
| 确认是否在监听 | ss -lntup 'sport = :394' | 只有 LISTEN 才说明本机在提供服务 |
| 确认谁在占用 | sudo lsof -i :394 | 看进程名与可执行文件路径，回归业务台账 |
| 判断是否异常外联 | ss -tnp | grep ':394' | ESTABLISHED 但业务无说明时按异常事件上报 |
| 回收放行规则 | 逐条核对防火墙与 ACL | 历史登记端口长期放行会扩大暴露面 |
embl-ndt 在 IANA 有登记，但公开部署资料极少。处理原则是不要用登记名反推业务：先确认进程来源与启动方式，再对照业务清单；仍无法归属的按未知服务处置，留存记录并限制访问。