萬盛學電腦網

瀏覽器 Windows 10 WPS Office 防毒軟體 資料庫 Excel 教學 檔案管理 Word 教學 網頁製作 裝機必備軟體 Linux 教學

您现在的位置： 萬盛學電腦網 >> 網路安全 >  >> 資訊安全防護

個人防火牆日誌深度解讀：從連接埠掃描到攻擊意圖識別

安裝個人防火牆只是第一步，看得懂日誌、判斷得出意圖、採取正確行動，才能發揮最大效用。本文以常見 TCP/UDP 埠號為線索，教你從日誌中識別掃描、暴力破解、惡意軟體通訊、駭客偵察等行為。

一、 連接埠分類與風險等級速查

範圍類別典型服務風險關注點
0-1023知名埠 (Well-Known Ports)20/21 FTP, 22 SSH, 23 Telnet, 25 SMTP, 53 DNS, 80 HTTP, 110 POP3, 139 NetBIOS, 443 HTTPS, 445 SMB核心服務暴露、暴力破解、漏洞利用 (EternalBlue 445、Log4j 80/443)
1024-49151登記埠 (Registered Ports)1433 SQL Server, 1521 Oracle, 3306 MySQL, 3389 RDP, 5432 PostgreSQL, 5900 VNC, 6379 Redis, 27017 MongoDB資料庫/遠管埠直通網際網路 = 高危，必須限制來源 IP + MFA + 堡壘機
49152-65535動態/私有埠暫時性連線、高埠服務、惡意軟體 C2、P2P、代理非預期高埠連線需檢視進程、載荷、目標 IP 信譽

🔗 官方埠號註冊表：IANA Service Name Registry | SpeedGuide Port Database | The Book of Secret Knowledge - Ports

二、 防火牆日誌常見攻擊特徵簽名

1. 埠掃描與偵察

  • TCP SYN 掃描：大量 `SYN` 封包打不同埠，日誌顯示 `DROP/REJECT`、Flags=`S`、同一來源 IP 短時間觸發多條規則。
  • TCP Connect/ACK/FIN/Xmas/NULL 掃描：旗標組合異常 (如 `F`、`FPU`、無旗標)，繞過簡易過濾。
  • UDP 掃描：發送 UDP 封包至大量埠，觀察 ICMP Port Unreachable 回應判斷開放/關閉。
  • OS 指紋識別：針對 TCP/IP 協議棧差異 (TTL、Window Size、選項順序、ICMP 回應) 發送特製封包。日誌見 `TTL=0/1`、`IP ID=0`、異常選項。

2. 暴力破解與認證攻擊

  • SSH (22)、RDP (3389)、FTP (21)、SQL (1433/3306/5432)、SMB (445)、VPN、Web 登入介面：短時間內同一來源 IP 產生大量「連線建立 → 失敗 → 斷開」循環，日誌顯示大量 `ALLOW` 後隨即 `DROP` (或應用層日誌記錄失敗)。
  • 噴灑攻擊：少量密碼嘗試大量帳號，單一 IP 失敗次數低但目標帳號廣，需關聯帳號維度分析。

3. 漏洞利用與惡意載荷

  • Web 攻擊：HTTP 日誌見 `SQLi` (`' OR 1=1--`)、`XSS` (`

資訊安全防護排行

推薦文章

萬盛學電腦網| 日本語版 | 設為首頁 | 加入收藏

copyright © 萬盛學電腦網 all rights reserved