如何阻止服務漏洞掃描

原則上是無法阻止服務漏洞掃描的，但是可以做以下操作盡量減少漏洞掃描所帶來的危害：

• 關閉端口

  關閉閑置和有潛在危險的端口。這個方法比較被動，它的本質是將除了用戶需要用到的正常計算機端口之外的其他端口都關閉掉。因為就黑客而言，所有的端口都可能成為攻擊的目標。可以說，計算機的所有對外通訊的端口都存在潛在的危險。

• 屏蔽端口

  檢查各端口，有端口掃描的癥狀時，立即屏蔽該端口。這種預防端口掃描的方式通過用戶自己手工是不可能完成的，或者說完成起來相當困難，需要借助軟件。這些軟件就是我們常用的網絡防火墻。

• 設置白名單和黑名單

  假如你的網站不想被太多的人看到（比如只想被公司內部的人看到），你可以使用白名單的方式只允許你們公司的IP訪問。假如是一個面向大眾的網站，建議檢測掃描你網站的IP，使用黑名單的方式禁掉這些IP。

• 建議服務器增加資源，防止被掃描導致癱瘓

  即使防護做的再好，也免不了被掃描或者爬取。現在的爬蟲技術能夠輕松應對反爬蟲機制，沒有什么有效的方法能夠完全禁止被爬取或者被掃描，只有增加服務器帶寬來防止被惡意掃描時使服務暫停。

• 加裝防火墻等安全設備

  目前市面上有一些防火墻能夠阻擋一些異常的掃描和爬取。

• 使用CDN作為外部服務的入口

  公網服務僅允許來自CDN機房的ip進行訪問。通過CDN分流掃描器的流量，同時利用CDN的云WAF攔截功能屏蔽掃描器的訪問

• 對流量或者日志進行分析

  目前大量的掃描器在掃描時存在特征（如使用特定的useragent或者字典生成數據包），可以通過對流量或者日志進行分析，鑒定和攔截特定的掃描器行為。

• 使用waf或ips等安全設備攔截攻擊payload，阻斷掃描的漏洞探測流量。

回答所涉及的環境：聯想天逸510S、Windows 10。