监听与防火墙核查
监听与防火墙核查
ss -lntp | grep '0.0.0.0' # 全接口监听的服务清单
# 只应监听本机的服务改为 127.0.0.1；应仅内网访问的绑定内网网卡
firewall-cmd --list-all 2>/dev/null ; iptables -S | head -20
# Windows：netstat -ano | findstr LISTENING| 网段设计 | 生产/测试/办公/DMZ 分离，跨段访问默认拒绝+按需放行 |
|---|---|
| 东西向 | 数据库仅接受应用网段；管理端口仅接受运维网段 |
| 验证 | 抽样从办公终端访问生产数据库：应被拒绝 |
『内网可信』是历史假设：终端沦陷与供应链通道都会从内网发起访问。