主动扫描：发现暴露的脆弱点
很多人以为装了防火墙就安全了，其实不然。攻击者往往从外部扫描入手，找那些不该暴露的服务端口。比如某公司把数据库的3306端口直接暴露在公网，这就等于把家门钥匙挂在门外。使用Nmap这类工具进行端口扫描，是检测网络暴露面的基本操作。
nmap -sV -p 1-65535 192.168.1.1这条命令会全面扫描目标IP的所有端口，并识别服务版本。实际环境中，建议定期对公网IP做一次完整扫描，及时发现意外开启的服务。
漏洞扫描器自动识别风险
人工排查效率太低，自动化工具更实用。像OpenVAS、Nessus这类漏洞扫描器，能对照已知漏洞库（如CVE）自动比对系统和服务。比如某个Web服务器还在用Apache 2.4.29，而这个版本存在远程代码执行漏洞CVE-2018-1312，扫描器就会立刻标红提醒。
部署时可以把扫描任务设成每周凌晨自动运行，生成报告发到运维邮箱。重点不是看打了多少分，而是关注“高危”和“可利用”级别的条目。
日志分析：从异常行为中找线索
真正的攻击往往藏在日志里。比如某台服务器的SSH登录日志中出现大量失败记录，紧接着一次成功登录，这很可能就是暴力破解得手的信号。
<?php @eval($_POST['cmd']); ?>如果在Web访问日志中看到类似这样的请求路径，基本可以判定已被植入一句话木马。用ELK或Graylog集中收集日志，设置关键词告警（如‘eval’、‘base64_decode’），能快速响应可疑活动。
渗透测试：模拟真实攻击验证防御
光有扫描不够，得有人真刀真枪试一试。渗透测试就是站在攻击者角度，尝试突破防线。比如通过SQL注入拿到后台权限，再横向移动到内网其他主机。
某电商网站曾做过一次测试，测试人员从一个废弃的测试接口入手，利用弱密码登录后台，最终导出了用户数据表。这种实战检验远比合规检查更有价值。关键是要授权明确范围，避免影响生产环境。
流量监测识别隐蔽通信
有些恶意程序不会立刻发作，而是悄悄连通外网。通过部署NetFlow或使用Suricata这类IDS工具，可以监控异常外联行为。比如一台办公电脑突然频繁连接境外IP，且使用非常规端口，大概率已中招。
更隐蔽的是DNS隧道，攻击者把数据打包进DNS查询请求传输出去。普通防火墙很难察觉，但通过分析DNS请求频率和域名特征（如超长随机子域），就能揪出异常。