| 加固项 | 端口最小化 |
|---|---|
| 适用平台 | Linux |
| 风险等级 | 中 |
| 基线 | 监听端口均有业务归属 |
清单命令
清单命令
ss -tulnp
ss -tulnp | grep -v '127.0.0.1\|::1' # 只看对外暴露
ss -s # 连接统计概览
sudo lsof -i -P -n | grep LISTEN | head -30重要节点的端口清单建议定期快照留存：既能对比漂移，也是事件取证材料。
本包目录（363 条）
主机加固基线90 条防火墙与访问控制50 条口令与认证策略55 条
服务与端口收敛50 条
- Redis 未授权访问加固
- 常见危险/冗余服务处置清单
- Docker API（2375/2376）暴露处置
- SMB 445/139 暴露面核查与收敛
- systemd 服务全景审计（运行态与自启动）
- Elasticsearch 未授权访问加固
- MySQL 对外暴露与账号来源收敛
- 监听端口全量盘点（ss/netstat）
- Memcached 未授权与 UDP 放大
- Kubelet 10250 匿名访问与鉴权
- 高危端口处置标准流程
- MongoDB 未授权访问加固
- Jenkins 管理界面暴露与弱口令加固
- etcd 2379/2380 暴露与证书认证
- telnet 服务清除与替代（SSH 化）
- SNMP 服务安全（v3 与团体字）
- 监听地址收敛（只绑内网/回环）
- Windows 服务与启动类型盘点
- FTP 服务加固或替换为 SFTP
- PostgreSQL pg_hba 与监听收敛
- Tomcat 管理应用与 8080 收敛
- Windows 监听端口与进程映射核查
- Samba/SMB 服务加固
- rsync 873 未授权访问整治
- Hadoop/YARN Web 界面未授权访问
- RabbitMQ 管理界面与 guest 账号
- Windows 137-139/445 端口暴露复核
- rpcbind/RPC 服务收敛
- DNS 服务递归与放大风险控制
- ZooKeeper/Kafka 未授权访问整治
- SQL Server 暴露面与 xp_cmdshell
- Windows 危险/冗余服务处置清单
- 端口台账与定期复核机制
- NFS 导出最小化（exports 白名单）
- Windows 共享清单与最小化
- Print Spooler 服务风险与处置
- 服务收敛变更流程（评估-灰度-复核）
- 服务禁用与屏蔽（disable/mask 的区别）
- 可疑外连与端口排查（netstat -anob）
- LDAP 匿名绑定与目录信息泄露
- 本机邮件服务与开放中继风险
- xinetd/inetd 托管服务核查
- Remote Registry 服务禁用
- NTP 服务安全与放大防护
- X11 端口与转发收敛（6000+）
- 桌面类服务在服务器上的清理
- atd 与计划任务服务收敛
- SSDP/UPnP 与即插即用服务收敛
- CUPS 打印服务暴露（631）
- TCP Wrappers（hosts.allow/deny）历史配置清理
监听端口全量盘点（ss/netstat）
以本机监听清单为底账：哪些端口、绑定哪个地址、属于哪个进程，逐条与“批准清单”比对。
易错点
- -p 需要 root：普通用户跑 ss 看不到进程归属，会漏掉关键线索
- unix socket 用 -x 看：容器与服务的本地通信不在 tcp/udp 清单里
数据来源与参考
- ss(8) 手册
- 等保 2.0：最小服务与端口
- CIS Benchmark：网络服务核查