是否保证了网络端口的安全，理论上就可以阻止一切外部入侵或是病毒感染？

[zjia]

对系统和网络的了解有限，我一直有一个疑问，说出来希望各位大佬不要见笑。

任何病毒的传播以及网络入侵，都不能跳出网络协议的范畴对吧？就算是利用系统漏洞，前提也必须是被攻击者的端口是开放的对吧？

那么在初始系统（无论 win 系列还是 linux 系列）纯净的前提下，是否保证了网络端口的安全，理论上是不是就可以阻止一切外部入侵或是病毒感染？

比如说一个网站服务器，仅开放 HTTP、HTTPS、SSH 等协议的端口、以及数据库连接端口，然后屏蔽一切其他无关端口，同时每一个基于该协议的应用都使用强密码，包括系统管理密码在内的所有密码每 3 个月更换 1 次，并且任何管理类的操作仅允许指定 IP 地址连接。

这样是不是就能保障单个服务器的绝对安全了？

望各位大佬指教！

[littlewing]

网线拔了都不能保证 100%安全

[opengps]

端口安全第一步，因为可能有系统默认漏洞被利用，比如 windows 的一堆漏洞
应用安全第二步，因为可能开发的程序自带漏洞，比如 php 框架开发的 web 应用
其他安全第三步，比如内鬼（程序 /人）向外部收集端发数据

[opengps]

另外说一句，关于 3 个月一换密码是否有用：
对于某些密码，例如系统远程，数据库，就算暴力破解需要 3 年，也不排除爆破程序的第一个密码就恰巧正确的情况
定期改密码对于密码文件泄漏等情况效果较好，对于爆破效果不算大

[opengps]

还有个服务器运维技巧，http，https 端口没办法，老老实实用默认密码 但是 ssh，你还是改一个随机非某些服务公开端口的端口当密码吧，世界可以清静不少！！！

[opengps]

合理使用安全组&防火墙&路由：
关于感染病毒有多种情况：，其中一类是病毒进入主机运行后，需要对外通讯的。这类服务需要通过配置防火墙或者安全组的“出方向”规则，可以屏蔽。举例说开发的某 web 系统，对外需要调用微信 api，那么就把微信服务器的 ip 加入到防火墙出规则的白名单里，其他禁止。这样对于这类需要对外联络才能让服务器沦为肉鸡或者泄露资源的情况也可以避免

[opengps]

不过其实说的太多了，足够安全的系统会带来太多使用上的不方便，然后很多情况下都是：系统能用就行了！！有事找运维背锅。。。

[changwei]

@251243021 边信道攻击。就是把 0101 的信息写入风扇转速控制的程序里面，通过风扇高低转速的切换把数据传递出来。这种奇葩的传递信道就是边信道。

[zjia]

看到各位大佬的回复，我发现我坐井观天的天有多大了……

[annielong]

毕竟严格来说，端口跟安全实际上没有关系，危险的不是端口，而是使用端口的后台程序。

[lzvezr]

@changwei 查了一下还有利用 PHP 比较字符串消耗时间长短逐位获取密码的操作，绝对安全太难做了😂

[Heimo]

首先，不可能有绝对的安全。就算你断网，也可以用声波攻击你的磁盘，风扇，达到目的。

https://search.freebuf.com/search/?search=%E5%A3%B0%E6%B3%A2#article

[kersbal]

当年震网病毒据说就是 NSA 摩萨德合作针对工业 PLC 设备的，但伊朗离心机工厂不太好感染到。摩萨德一着急，就放了一个大招，直接感染周边民用设施来间接攻击，因为任何系统都需要定期维护升级，任何一次对系统的接触都会增加风险。来自电影：零日战争