問：我在一家大型圖書館工作，我們有兩個獨立的網絡：一個用于公共訪問，另一個用作我們專用內部網絡。大概一個星期以前，我發現有人在我們的公共網絡上運行端口掃描（明顯此操作是未授權的）。怎樣才能防止公共用戶在連接公共無線網的計算機或上網本上進行掃描呢？

答：考慮到公共無線網絡的特點，主動去處理端口掃描很復雜。

我們可以嘗試在網絡層處理端口掃描，但是因為我們需要保護的系統和未授權的掃描系統在相同的虛擬局域網（VLAN）上，所以很難識別阻塞點（choke point）或切入點，以部署主動的基于網絡的發現和防御功能，如基于網絡的入侵防御系統（IPS）。

理想情況下，你可能希望在主機（host）層來處理。要說明的是，這里的主機指的是你要保護的系統。根據操作系統的類型，只有一些基于主機的產品可以攔截端口掃描。在Windows中，有反病毒廠商提供的一些成熟的產品，具有內置的防火墻和IPS。在Unix/Linux系統中，有一個很有趣的工具，掃描攻擊檢測軟件（Port Scan Attack Detector，PSAD），它利用iptable日志，并追蹤端口掃描。因為它與iptables整合，所以能夠攔截發起掃描的源。

【編輯推薦】

1. Deutsche Telekom Teledat DSL路由器端口掃描遠程拒絕服務攻擊漏洞
2. 由滲透掃描到實施路由器跳板攻擊