对于运维来说，端口异常往往意味着：服务意外退出；被恶意扫描或爆破；存在未知进程监听端口；挖矿木马占用高位端口；端口突然暴增引发高负载。能及时发现这些情况，比事后排查要轻松得多。本文介绍几种可落地的监控方式。一、实时查看端口状态1. 使用 ss 监控端口监听情况（推荐）ss 是 netstat 的升级版，速度快、信息更全。参数说明：t：TCPu：UDPl：仅显示监听n：不解析域名p：显示进程名常用做法：盯紧异常端口ss -tulnp | grep -E "0.0.0.0|LISTEN"
50000/tcp LISTEN ....60123/tcp LISTEN ....
而你不认识这些端口，那么可能有猫腻。二、如何实时检测“新端口被开启”有时候新端口突然出现，意味着有服务被拉起，或者有木马启动。下面提供一个小型监控脚本，用来 实时对比端口变化。端口变化监控脚本#!/bin/bashBASELINE=/tmp/port_baseline.txtCURRENT=/tmp/port_current.txt# 初始化基线if [ ! -f "$BASELINE" ]; then ss -tuln > "$BASELINE" echo "Baseline created." exit 0fiss -tuln > "$CURRENT"DIFF=$(diff $BASELINE $CURRENT)if [ ! -z "$DIFF" ]; then echo "[Warning] New or removed ports detected:" echo "$DIFF" cp $CURRENT $BASELINEfi
添加 crontab 每分钟跑一次也很方便。三、实时监控端口连接量（发现攻击或异常流量）1. 查看某端口连接数ss -ant | grep :80 | wc -l
如果你的网站端口 80/443 突然出现上千个连接，很可能遭遇 CC 攻击。2. 按 IP 统计访问量（定位恶意 IP）ss -tn state established | awk '{print $5}' | awk -F: '{print $1}' | sort | uniq -c | sort -nr | head
可以快速看到：哪个 IP 并发最高；是否存在恶意扫描；是否被海外机器人爆破。四、实时监控流量情况1. 使用iftop（像 top 的流量监控）yum install iftop -yiftop
可以看到：实时带宽；每个 IP 的流量情况；是否存在异常上行流量（挖矿木马特征）2. 使用 nethogs 查看每个进程占用的流量
python 5MB/snode 4MB/sunknown 8MB/s
五、监控端口变化的自动告警系统（可直接使用）下面是一个 端口异常自动邮件告警脚本（适用于 Linux）：#!/bin/bashLOG=/tmp/port_watch.logBASE=/tmp/port_base.txtCUR=/tmp/port_cur.txtss -tuln > $CURif [ ! -f $BASE ]; then cp $CUR $BASE exit 0fiDIFF=$(diff $BASE $CUR)if [ ! -z "$DIFF" ]; then echo "Port change detected:" > $LOG echo "$DIFF" >> $LOG mail -s "Server Port Change Alert" admin@example.com < $LOG cp $CUR $BASEfi
适用于：端口异常监听；服务自动拉起；后门端口检测；木马扫描端口识别。六、结合 fail2ban、firewalld 进行自动阻断如果监控脚本发现某 IP 同时触发多端口访问，可以让 fail2ban 自动封禁：例如封禁大量发起 SSH 连接的 IP：fail2ban-client set sshd banip 1.2.3.4
firewall-cmd --permanent --add-rich-rule="rule family='ipv4' source address='1.2.3.4' reject"
七、总结实时监控端口和流量是服务器安全的关键环节。运维中 80% 的入侵事件，都能在端口层面提前发现异常。本篇总结的要点包括：如何查看端口状态；如何检测端口变化；如何快速发现流量异常；如何追踪高访问 IP；如何自动告警端口变化；如何结合防火墙自动封禁攻击流量。只要把以上方法掌握好，就能提前发现大多数异常服务、木马后门、扫描行为或流量攻击。版权声明：本文内容来自随客社区:lin，遵循CC 4.0 BY-SA版权协议上原文接及本声明。本作品采用知识共享署名-非商业性使用-禁止演绎 2.5 中国大陆许可协议进行可。原文链接：https://www.isuike.com/thread-5169-1-2.html如有涉及到侵权，请联系，将立即予以删除处理。在此特别鸣谢原作者的创作。此篇文章的所有版权归原作者所有，与本公众号无关，商业转载建议请联系原作者，非商业转载请注明出处。
10个月宝宝每天需要喝多少奶粉？
