連接埠是電腦對外溝通的大門，也是駭客入侵的首選目標。蠕蟲病毒自動掃描攻擊佔 90%，針對特定連接埠大規模、高頻率、反復嘗試。本文基於真實防火牆日誌數據 (12,000 次攻擊事件)，揭露 135/445 (RPC)、57 (Email)、1080/3128/6588/8080 (Proxy)、25 (SMTP)、10000+ (未註冊) 等 10 大高風險連接埠，分析攻擊意圖 (植入蠕蟲、掃描 Web 弱點、尋找開放 Proxy 發垃圾郵件、竊取儲存空間、建立跳板)，提供分層防禦佈局：關閉非必要埠、應用層防火牆、IPS/IDS、主機強化、網路分段、日誌審計，構建纏繞防禦體系。
| 連接埠 | 服務 | 攻擊次數 | 攻擊意圖 |
|---|---|---|---|
| 135 | Windows RPC (DCOM) | 42 | 植入 Blaster/Sasser/Conficker 類蠕蟲、遠端執行程式碼 (RCE) |
| 445 | SMB / CIFS (檔案共用) | 457 | EternalBlue (MS17-010) 利用、勒索軟體傳播、横向移動、暴力破解 |
| 57 | Email (自定義/舊版) | 56 | 掃描 Microsoft Web 服務弱點 (fx 工具)、郵件伺服器枚舉 |
| 1080 | SOCKS Proxy | 64 | 尋找開放 Proxy 做跳板、隱藏真實 IP、發垃圾郵件、爬蟲 |
| 3128 | Squid HTTP Proxy | 21 | 同上，開放 Proxy 濫用 |
| 6588 | AnalogX Proxy / 其他 | 21 | 同上 |
| 8080 | HTTP Proxy / Tomcat / Web 管理介面 | 163 | 掃描管理介面弱點 (預設帳密)、開放 Proxy、Web 應用漏洞 |
| 25 | SMTP (郵件傳送) | 56 | 探測開放轉信 (Open Relay)、發送垃圾郵件、枚舉用戶帳號 |
| 10000+ | 未註冊/自定義服務 | 376 | 掃描非常用埠發現隱藏服務、配置錯誤暴露管理介面、IoT 設備後門 |
[ ] 掃描對外開放埠 (nmap -sS -p- 公網 IP) → 僅業務必要埠開放 [ ] 內部網段掃描高風險埠 (135,445,3389,5900,22,8080) → 僅授權主機開放 [ ] 防火牆規則審查 → 無 Any-Any 規則、無過期臨時規則 [ ] 主機防火牆啟用率 100% → 群組原則強制部署 [ ] SMBv1 已停用、SMB 簽名已強制 [ ] 郵件伺服器無開放轉信、SPF/DKIM/DMARC 通過 [ ] 管理介面 (SSH/RDP/Webmin/8080/3128) 僅限跳板機/管理 IP [ ] 異常登入/流量告警過去 30 天零遺漏 [ ] 關鍵資產離線備份過去 7 天可用
連接埠是大門，駭客敲門從不禮貌。掌握高風險埠清單、理解攻擊意圖、佈局四層纏繞防禦、執行月度自檢，才能在自動化攻擊洪流中守住核心資產。記住：關閉一個非必要埠，就是斷絕一條攻擊路徑。從今天開始，檢視你的防火牆規則，把 135、445、3389、8080、25 這幾扇門，在不需要時徹底焊死。
