端口收敛要看出方向
端口治理不只看谁在监听，还要看主机主动往哪连。挖矿程序连矿池、后门程序回连 C2、数据外带工具上传文件，都会在出向连接上体现出来。把“进程到外连地址”的映射作为例行巡检动作，能在出方向未收敛的环境里提前发现异常；与出方向白名单配合使用，一个负责看得见，一个负责连不出去。
基本信息
| 适用平台 | Windows Server / Windows 10、11 |
|---|---|
| 常用命令 | Get-NetTCPConnection、netstat -anob、Get-Process |
| 权限要求 | 查看进程归属需要管理员权限 |
| 基线 | 外连均有业务解释，异常连接可追溯到进程 |
| 风险等级 | 中 |
典型使用场景
- 日常巡检：导出外连清单，核对每个连接的业务归属
- 挖矿排查：按常见矿池端口筛选可疑连接
- 应急响应：定位异常外连涉及的进程与路径
- 出方向治理准备：摸清真实依赖，为白名单提供依据
- 变更验证：业务变更后确认连接模式是否符合预期
外连清单与可疑线索
外连清单与可疑线索
Get-NetTCPConnection -State Established | Select-Object LocalAddress, LocalPort, RemoteAddress, RemotePort, OwningProcess | Sort-Object RemoteAddress | Format-Table -AutoSize
netstat -anob | Select-String -Pattern 'ESTABLISHED' | Select-Object -First 30
Get-NetTCPConnection -State Established | Where-Object {$_.RemotePort -in 3333,4444,5555,7777,8888,9999,14444,45700} | Select-Object RemoteAddress, RemotePort, OwningProcess
Get-Process -Id 1234 | Select-Object Id, ProcessName, Path, StartTime # 反查进程路径
Get-CimInstance Win32_Service | Where-Object {$_.ProcessId -eq 1234} | Select-Object Name, PathName字段读法
| 字段 | 含义 | 异常表现 |
|---|---|---|
| RemoteAddress | 对端地址 | 公网地址且无业务解释=需核实 |
| RemotePort | 对端端口 | 命中常见矿池端口=高度可疑 |
| OwningProcess | 发起连接的进程 ID | 需反查进程路径与启动方式 |
| State | 连接状态 | 大量 SYN_SENT 说明对外探测或受阻 |
| Path | 进程可执行文件路径 | 位于临时目录或用户目录=可疑 |
出方向控制与连接巡检配合使用：白名单让异常连接连不出去，巡检让异常连接看得见，两者缺一都会留下盲区。
落地要点
- netstat -b 参数需要管理员权限：普通权限下进程信息会缺失，排查结果不完整
- 判定要结合进程路径与域名归属，正常业务也会连 443，避免只看端口就告警
- 把清单作为基线保存，异常项才会凸显出来
- 对无签名与位于临时目录的进程单独列出，优先核实
- 与 EDR 或集中日志平台的网络事件交叉验证，减少误判
发现可疑外连时不要立即结束进程：先留存证据（连接记录、进程路径、文件哈希），否则线索会被销毁。