主机发现的作用
大网段核查前先做主机发现，可以避免对不存在的地址做完整端口扫描，把扫描时间压下来。不同网络环境适用的探测方式并不相同：同网段的二层网络可以直接用 ARP，最准；跨网段要靠 ICMP 与 TCP 探测组合；云环境还要考虑安全组可能放行某些端口却屏蔽 ICMP。
基本信息
| 工具 | nmap（主机发现模式） |
|---|---|
| 常用参数 | -sn 只做主机发现、-PE ICMP echo、-PS 与 -PA TCP 探测、--min-rate 发送速率下限 |
| 同网段 | 二层直连默认使用 ARP，结果最可靠 |
| 跨网段 | 组合 ICMP 与常见端口探测，命中率更高 |
| 云环境 | 安全组可能只放行特定端口，探测结果偏少 |
| 输出 | -oA 生成多格式结果，便于与资产台账对账 |
| 留痕 | 记录扫描来源 IP 与时间窗口，便于审计 |
探测方式与适用环境
| 方式 | 说明 | 适用环境 |
|---|---|---|
| ARP | 同网段二层发现，最可靠 | 本地直连网段 |
| ICMP echo（-PE） | 简单但常被防火墙屏蔽 | 跨网段辅助探测 |
| TCP SYN（-PS22,80,443） | 向常见端口发 SYN，命中率高 | 跨网段主力方式 |
| TCP ACK（-PA80） | 对部分过滤设备有穿透效果 | 特定环境补充 |
| UDP（-PU） | 较少使用但能命中少数设备 | 按需使用 |
主机发现命令
主机发现命令
# 二层直连网段（默认包含 ARP 探测）
nmap -sn 192.168.10.0/24
# 跨网段组合探测：ICMP 加常见 TCP 端口
nmap -sn -PE -PS22,80,443 192.0.2.0/24
# 大网段提高发送速率，缩短等待时间
nmap -sn 10.0.0.0/16 --min-rate 2000
# 输出多格式结果，便于与资产台账逐条对账
nmap -sn 192.168.10.0/24 -oA hostdisc-192-168-10云环境注意
云环境注意
云上安全组可能放行部分端口但屏蔽 ICMP：
- 发现结果偏少不等于资产不存在
- 可用已放行端口（22、443）做定向探测补充
- 结果与云 CMDB 或资产接口数据交叉核对
- 记录扫描来源 IP，便于云平台侧的审计与放行典型使用场景
- 暴露面梳理前的资产存活确认
- 影子资产发现：与 CMDB 台账对账找出未登记主机
- 大规模网段扫描的前置步骤，先缩小目标范围
- 云上资产与本地台账的差异核对
- 变更后确认新网段里的主机范围
- 演练前的目标清单准备与授权核对
把存活主机列表与资产台账对账，能发现未登记的影子资产，这是暴露面收敛最直接的输入，比单纯统计端口开闭更有用。
主机发现同样会产生流量。大网段提高速率前先确认授权范围与时间窗口，避免影响生产链路或触发安全设备告警。