dei-icda 是什么
618 在 IANA 登记的服务名是 dei-icda，注册人为 David Turner，登记表没有登记说明、没有 RFC 引用，连缩写的展开都无从考证。这类「只剩一个名字」的条目在 600-699 段很常见：当年软件厂商为自己的内部协议申请了端口，项目结束后既没有公开规范，也没有留下文档。618 属于系统端口段（0-1023），RFC 6335 之后这一段只由 IETF Review 或 IESG Approval 分配。对运维的实际含义是：既不能用它做服务识别，也不能因为查不到用途就认为它安全。
基本信息
| 服务名 | dei-icda |
|---|---|
| 协议 | TCP 与 UDP（分别登记） |
| 登记 | IANA 早期登记，无说明无 RFC |
| 端口区间 | 系统端口 600-699 |
| 现状 | 无公开规范与公开实现 |
| 登记人 | David Turner |
典型使用场景
- 扫描结果分类：把只有名字、没有描述的登记名归入「信息不足」类，不做倾向性判断
- 恶意软件排查：攻击者偏爱这类无主端口名，便于伪装成正常服务
- 防火墙策略评审：对信息不足的端口不默认放行，也不默认长期拒绝，按业务确认
- 资产台账完善：记录端口首次出现的机器与时间，为后续追溯留线索
- 值班手册编写：给这类端口写明处置口径，避免不同班次给出不同结论
定位占用进程
定位占用进程
sudo ss -lntup 'sport = :618' # 618 的监听与 UDP 绑定
sudo lsof -i :618 -P -n # 进程、PID、用户
sudo ls -l /proc/<pid>/cwd /proc/<pid>/exe # 进程工作目录与真身，判断来源
sudo lsof -p <pid> | head -20 # 该进程打开的文件与套接字
# Windows：netstat -ano | findstr :618，再 tasklist /v 看会话与内存占用排查判断要点
| 检查项 | 正常表现 | 异常表现 |
|---|---|---|
| 进程启动时间 | 与系统重启或部署时间吻合 | 在无变更的时段突然启动 |
| 所有者 | 专用服务账号 | 与业务无关的普通账户或 nobody |
| 监听地址 | 内网地址或回环 | 0.0.0.0 且业务无需对外 |
无说明的登记名对攻击者反而有吸引力：扫描报告里出现 618 这类端口时，安全的做法是把它当作未命名端口处理，从进程和控制者身份倒推，而不是从名字倒推。
判断进程是否为「临时起意」，可以看它的启动时间与工作目录：部署工具启动的进程时间点集中且有明确目录，手工启动的则时间零散、目录随意。