SSDP 与 UPnP 是什么
SSDP 与 UPnP 用于设备发现与自动配置：主机通过组播宣告自己可被发现，设备之间自动建立端口映射。服务器上这两项没有使用场景，却让主机在局域网中持续暴露身份信息，相关组件历史上也多次出现漏洞，基线做法是直接停用并同时收敛端口。
基本信息
| 加固项 | 发现服务收敛 |
|---|---|
| 适用平台 | Windows Server、Windows 10 及以上 |
| 风险等级 | 低 |
| 基线 | SSDP 与 UPnP 相关服务均停用且启动类型为禁用 |
| 关联端口 | 1900/udp、2869/tcp 等 |
典型使用场景
- 服务器基线：默认关闭发现类服务，不设例外
- 办公终端：与服务器分开策略，投屏与媒体共享依赖该功能
- 边界加固：在网络层封禁相关组播与端口，减少暴露
- 合规核查：确认服务状态与启动类型都是禁用
- 事件排查：出现异常设备发现流量时先关服务再定位来源
核查与处置
核查与处置
# 查看三个相关服务状态与启动类型
Get-Service SSDPSRV, upnphost, FDResPub -ErrorAction SilentlyContinue | Select-Object Name, Status, StartType
# 停止并改为禁用（重启后不会自动恢复）
Stop-Service SSDPSRV, upnphost, FDResPub -Force -ErrorAction SilentlyContinue
Set-Service SSDPSRV, upnphost, FDResPub -StartupType Disabled -ErrorAction SilentlyContinue
# 复核：状态应为 Stopped，启动类型应为 Disabled服务与暴露面
| 服务或组件 | 端口与方式 | 用途 |
|---|---|---|
| SSDPSRV | 1900/udp 组播 | 设备发现与宣告 |
| upnphost | 2869/tcp 及相关承载 | UPnP 设备托管 |
| FDResPub | 随发现机制发布 | 向局域网宣告本机 |
| LLMNR 与 mDNS | 5355 与 5353 | 同类发现与解析面，需一并收敛 |
主机与网络两层都要收：除停用服务，还要在边界封禁相关组播与端口，避免其他设备的流量穿透到网段。
禁用后网络位置的发现速度变慢属于正常现象，不要为了使用体验把所有发现类服务全部放开。
落地检查点
- 服务器与终端分开策略：服务器一律禁用，终端按实际场景单独评估
- 改完启动类型后用重启验证，确认服务不会自动恢复运行
- 在网络层同步封禁相关组播与端口，形成主机与边界的双重收敛
- 把该项写入新机基线清单，装机后逐台核对状态与启动类型
- 发现类服务出现例外时登记用途与到期时间，到期自动复核