台账的价值在对比
暴露面管理的可持续做法是把「资产、端口、进程、归属人、复核日期」固化成台账：定期快照，每次巡检做 diff，发现新增就评审、发现消失就销账。台账的价值不在记录本身，而在于对比——两次快照之间新增的监听，就是这个周期里需要解释的变更。
基本信息
| 适用平台 | 全部平台 |
|---|---|
| 风险等级 | 中 |
| 基线要求 | 台账按季度复核 |
| 台账字段 | 资产、端口、进程、归属人、复核日期 |
| 快照频率 | 变更后与固定周期各做一次 |
典型使用场景
- 服务器暴露面的长期管理
- 变更后快速定位新增的对外监听
- 合规检查中提供暴露面清单
- 应急响应时判断哪条监听是异常的
- 资产迁移或重建后的台账同步
- 与服务台账交叉核对未登记的服务
Linux 侧快照
Linux 侧快照
hostname; date # 记录采集时间与主机名
ss -tulnp | awk 'NR>1 {print $1, $5, $7}' | sort > /var/log/port-inventory-$(date +%F).txt # 生成当日快照
ls -l /var/log/port-inventory-*.txt # 查看历史快照
diff /var/log/port-inventory-2026-10-01.txt /var/log/port-inventory-2026-10-13.txt # 对比两期差异Windows 侧快照
Windows 侧快照
Get-NetTCPConnection -State Listen | Select-Object LocalAddress, LocalPort, OwningProcess | Sort-Object LocalPort | Export-Csv "C:\temp\port-inventory-$(Get-Date -Format yyyyMMdd).csv" -NoTypeInformation -Encoding UTF8 # 导出 CSV 快照
Get-CimInstance Win32_Process | Select-Object ProcessId, Name, CommandLine # 连带进程命令行一起留存台账字段读法
| 字段 | 含义 | 注意点 |
|---|---|---|
| 资产 | 主机名或资产编号 | 与资产台账保持一致 |
| 端口 | 监听端口与协议 | 区分仅本机监听与对外监听 |
| 进程 | 归属进程与路径 | 端口无法归属时必须查清 |
| 归属人 | 业务或团队负责人 | 找不到归属人即整改项 |
| 复核日期 | 最近一次核对时间 | 超期未复核要触发提醒 |
台账的价值在对比而不在记录：两次快照 diff 出来的新增监听，就是这个周期需要评审的变更。
快照要连进程命令行一起留存：只留端口号，事后无法判断这个端口到底属于谁。
云主机重建或迁移之后台账要同步更新：否则差异告警会淹没真正的问题，最后没有人再看告警。