公网端口暴露是什么
端口是暴露面最直观的度量：一台主机对公网开放哪些端口，决定了攻击者可尝试多少种入口。核查的目的是按「业务必需」原则做最小化——只保留对外提供服务的端口，管理端口与服务间端口全部转内网或加访问控制。核查时要注意视角差异：内部看到的监听状态不等于公网可达，云安全组、负载均衡、WAF 与 NAT 映射都会改变最终结果，因此必须以外部实测为准。
基本信息
| 核查对象 | 公网 IP、域名解析地址、云负载均衡监听 |
|---|---|
| 数据来源 | 外部扫描结果 + 云平台资源清单 + 自建台账 |
| 判定原则 | 业务必需为唯一保留理由，其余一律收敛 |
| 常见遗留 | 调试端口、历史业务端口、临时放行规则 |
| 验证方式 | 外部视角扫描复测，确认端口关闭或必然被拒 |
| 管理节奏 | 定期滚动核查，业务变更后即时复核 |
典型场景
- 季度核查：对公网 IP 段做端口扫描，与上次结果对比差异
- 新业务上线前确认开放端口清单与审批记录
- 云平台复核：安全组、负载均衡与 NAT 规则是否与台账一致
- 发现未知开放端口时确认业务归属，避免误关生产服务
- 收到外部通报后核查本单位对应端口是否可达
- 下线业务后复核端口是否同步关闭，避免残留入口
外部视角核查
外部视角核查
nmap -sT -Pn --open --top-ports 1000 <公网IP列表> -iL public-ips.txt -oA exposure
# 结果导入清单：IP / 端口 / 服务 / 初步判定（业务必需/管理/未知）
# 对『未知』类先确认业务归属再动手关闭
# 仅限自有或已获书面授权的资产；云环境需先确认服务商政策常见该收敛的暴露
| 端口类 | 示例 | 收敛动作 |
|---|---|---|
| 管理入口 | 22/3389/5900/7001 | 转 VPN/堡垒机或来源白名单 |
| 数据服务 | 3306/5432/6379/9200 | 仅内网或安全组限定来源 |
| 控制面 | 2375/6443/10250 | 限定源并启用认证 |
| 调试与监控 | 9090/3000/5601 | 加鉴权并限制来源 |
| 中间件控制台 | 8080/8161/15672 | 不对外，改用内网运维通道 |
端口核查每月滚动一次：新开端口往往来自业务临时需求，不设节奏就无人回收。
IPv4 与 IPv6 要分别核查：只做了 v4 收敛的资产，常因 v6 地址自动分配而重新暴露，云主机的双栈配置尤其容易遗漏。