775 是什么
775 同样是双名字条目：TCP 上是 entomb，UDP 上是 acmaint_transd，协议为 TCP/UDP，没有登记人信息。entomb 这个词意为安葬，放在服务名表里显得格外突兀，加上它与 774 的 acmaint_dbd 同属 acmaint 系列，可以看出这批名字来自同一套维护工具。名字本身不代表行为，判断依据仍然是进程与流量。
基本信息
| 端口号 | 775 |
|---|---|
| 服务名（TCP） | entomb |
| 服务名（UDP） | acmaint_transd |
| 协议 | TCP 与 UDP 分列不同名字 |
| 同族条目 | 774 的 acmaint_dbd |
| 命名注意 | 名字含义容易引发误判 |
| 规范与实现 | 无公开规范 |
名字引发误判的常见情形
- 安全团队按关键字扫描进程名，把含义特殊的名字直接列为可疑程序
- 值班人员看到陌生而古怪的名字，优先按入侵事件上报，消耗响应资源
- 自动化资产系统按名字打标签，生成无法解释的风险条目
- 排查人员先入为主，忽略进程路径与签名这类真正可靠的证据
- 名字与 acmaint 系列同批出现却分别处置，遗漏同族端口的整体收敛
从名字转向证据
从名字转向证据
# 进程路径与签名是最可靠的证据
ss -lntup 'sport = :775'
sudo readlink -f /proc/<PID>/exe
# 核对软件包来源
sudo rpm -qf /proc/<PID>/exe 2>/dev/null || sudo dpkg -S $(readlink -f /proc/<PID>/exe)
# 核对文件签名（Windows 侧 PowerShell）
# Get-AuthenticodeSignature C:/path/to/binary.exe证据可靠性排序
| 证据 | 可靠性 | 说明 |
|---|---|---|
| 可执行文件路径与包归属 | 高 | 能确认软件来源与版本 |
| 数字签名 | 高 | 可判断发布方是否可信 |
| 行为与流量特征 | 高 | 反映真实功能 |
| 进程名与服务名 | 低 | 可被随意设置 |
服务名表里存在不少含义古怪的名字，多数只是开发者当年的个人偏好。把它们当线索可以，当结论不行。
将名字关键字报警改为行为报警，是降低误报最直接的手段。行为类规则可基于外联目标、数据量、进程父链等特征构建。
同族端口的收敛要一起做：774 与 775 都带 acmaint 系列名字，若其中一个确认无业务依据，另一个也应同步核实，避免只处理了一半。