内行透底，443端口封堵后攻击流量直降90%

　　去年4月12号凌晨三点二十七，我刚把最后一台试点设备的后台数据导到本地盘，指尖还沾着刚蹭到的键盘灰——这不是我第一次跟端口死磕了，哪年我帮某园区改完远程办公的端口规则，凌晨四点被值班的运维小周拍肩膀喊“哥，又炸了”，那回是临时换了没备案的端口，被扫了三天三夜，最后数据盘满到飘红，我俩蹲在机房走廊啃冷包子，他把包子馅蹭我领口上，还嘴硬说“这是故障的勋章”。

　　我原以为封443是自断活路，毕竟这端口是远程办公的“老熟人”，谁改办公设备的远程配置不是先摸443？去年2月我帮邻市的产业园搭过一套全端口放开的环境，结果被扫得连门禁的远程授权都失效，园区主任拍着桌子骂我“把人家大门拆了当防空洞”，最后还是费了两周才把数据洗干净。可去年4月那回不一样，我们试点的是二十多家制造企业的车间终端，这些终端平时只连内部MES系统，对外的443端口本来是做应急远程维护的，之前就因为这端口被扫过两次，一次是某勒索病毒挂着443端口混进来，偷跑了车间的能耗数据，另一次是某团伙抓了几百台工业终端的权限，想刷虚拟货币，最后是工信部的安全预警单下来才紧急止损。

　　我们当时没敢直接封，先做了三天的流量镜像，把443端口的进出流量一条条扒，扒到后来发现，真正的办公维护流量连不到百分之十，剩下的全是无来源的扫描包、半连接请求、还有那种像没头苍蝇似的握手包——你见过那种包吗？就是发过去不回，再发，再换个源IP发，一天能来几百万次，把我们的防火墙会话池占得只剩个位数，车间的终端连自己家的内网都卡。后来我跟安全组的老陈商量，赌一把，就把对外的443端口封了，只留了一个我们自己的备用端口给应急维护，其他全挡。

　　封的当天下午，我在机房盯着监控屏，本来做好了车间终端连不上MES系统的准备，结果看了半小时，终端的在线数没掉，反倒那些飘满屏幕的攻击流量一下子全没了，剩的只有零零散散的、带着我们备用端口特征的合法请求。我当时就愣了，老陈端着保温杯过来，抿了一口说“早该封，这端口给外人用了快二十年，早该换了”，我才反应过来，之前我们守着443，其实是给攻击流量留了个最显眼的后门，那些扫端口的人，就跟蹲在小区大门外等的小偷，你把大门焊死换个没名字的小门，他连看都不会多看一眼。

　　之后的三周我每天都导数据，跟隔壁产业园的运维老张对比，他那会还没敢封443，每天跟我吐槽防火墙的日志刷得眼睛疼。我原以为封了443会有麻烦，结果没有，车间的维护人员本来也不爱用443，嫌要走HTTPS还要备案，平时都是用车间内部的专用端口，只是之前我们没主动说，他们也就没换。后来老陈说，这就是内行说的优胜劣汰，那些真正要办公的流量，从来不会死攥着一个端口不放，倒是那些靠广撒网的攻击流量，一碰到没了443的“真空”，立刻就没了活路——它们就认这个端口，换个地方扫都不会，你把这个唯一的标靶撤了，它自然就走了。

　　不过也有跑题的地方，当时我们忘了留内部的443端口，车间里的技术员因为要登某款远程调试软件，憋了一上午，最后还是老陈从内网服务器里扒了个闲置的端口给他，才解决——这事儿闹得笑话，我跟老陈都差点忘了，内部流量其实跟攻击流量是两码事，我们封的是对外的443，内部的其实没必要动，只是当时急着出结果，没顾上。

文章配图，仅供参考

　　再后来我跟安全组的人复盘，说封443的核心，其实不是封端口，是把那个“所有端口都可能被扫”的默认认知给打破，那些攻击流量都是程序化的，你只要不把443这个“默认大门”敞开，它们就找不到下脚的地方——这跟车间里的安全防护其实是一个道理，你要是把所有门都开着，小偷随便进，你要是把显眼的大门焊死，小偷就算知道你有后门，也懒得爬。之前我总觉得远程办公要“方便”，要让所有人都能连上，结果反而给攻击流量留了个最舒服的窝，现在才明白，所谓的“安全便捷”，有时候就是把那些没用的、显眼的东西先去掉，剩下的自然就是有用的。

　　对了，还有个细节，去年4月那回，我蹲在机房吃的外卖是黄焖鸡，是运维小周帮我订的，他说“哥，你这操作比我上次帮你清病毒还狠”，我当时嘴里叼着鸡腿，没说话，其实我那会也怕，怕封了443之后，车间的终端全断，怕被那些企业的老板骂——毕竟我是个吃技术饭的，最怕的就是“出事”，可那回赌赢了，不是我技术有多牛，是刚好踩中了那些攻击流量的死穴，它们就认443，没了这个端口，它们就没了饭辙。

　　现在我帮企业改远程配置，第一件事就是问“你们真的需要对外的443端口吗”，要是不需要，就直接封，留个备用端口给应急维护，效果好得离谱——当然也有那种非要用443的，我就给他们做流量过滤，只放行我们的维护IP，其他的全挡，也能降不少攻击，只是没封443那么彻底。不过我还是觉得，封443不是万能的，但它是最直接的，那些攻击流量，从来不会跟你讲什么“优胜劣汰”，它们只讲“效率”，你把最显眼的端口堵了，它们就会自己找下一个目标，这就是我踩过无数坑之后，得出的最实在的结论。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!