凌晨三点，网络一台IP为192.168.1.47的资产服务器在五分钟内向全网段发出了两千多个SYN包。这不是探测攻击，是网络有人在扫网。我盯着Wireshark的资产滚动窗口，看着那些半开连接像蝗虫一样掠过C段，探测心里只有一个念头：又来了。网络

网络资产探测这件事，资产说白了就是探测搞清楚"谁在线、开了什么门、网络门后有什么"。资产听起来简单，探测做起来像在漆黑的网络仓库里摸电闸——你知道墙上有开关，但不知道具体位置，资产更不知道哪根线还通着电。探测

为什么非要探测

去年帮一家制造企业做内网梳理，他们IT主管拍胸脯说"我们资产表很全，就80台设备"。nmap扫完，活着的IP有217个。多出来的包括：三台被人遗忘的测试服务器、一台跑着Windows XP的工控机、还有七个IP摄像头——默认密码没改，Web界面直接暴露在办公网。资产表是纸上的，探测结果是活的。两者之间的差距，往往就是攻击面。

探测的核心价值不在"发现新东西"，而在"发现不该存在的东西"。一台不应该开放的Redis，一个忘记下线的调试接口，比十个已知漏洞更危险。因为已知漏洞有人修，未知资产没人管。

怎么扫才不惹麻烦

全端口SYN扫描快，但动静大。防火墙日志里一串"TCP SYN from 10.0.0.5 to *:*"能直接把安全运维的瞌睡打醒。我的习惯是分三层走：先用ICMP和ARP把存活主机捞出来，这一步最轻；再用nmap做常见端口TCP connect扫描，速度降下来但不易触发IDS；最后针对确认开放的服务做版本探测，这时候才上强度。整个过程像剥洋葱，一层一层来，别一上来就全端口+脚本扫描，那是拿大喇叭喊"我在扫你"。

有个细节容易被忽略：扫描源IP的选择。用办公网出口去扫生产网，等于告诉所有人"是我干的"。正确做法是从跳板机或专用扫描节点发起，并且控制速率。我通常把--min-rate设在100以下，--max-retries设为1，宁可慢，不要丢包重传——重传的流量特征比扫描本身更可疑。

指纹识别里的坑

认出端口不等于认出服务。8080上跑的可能是Tomcat、Jenkins、Nexus，也可能是某个内部系统自己写的HTTP服务。nmap的版本探测靠特征库匹配，遇到改过banner的服务就抓瞎。这时候需要组合拳：HTTP响应头的Server字段、特定路径的404页面、TLS证书里的CN值，甚至favicon的hash。我见过一个"nginx"实际是OpenResty改的，banner被抹得干干净净，最后靠favicon的MD5才确认是某国产WAF。

资产探测不是一次性任务。今天扫完的清单，下周就有三台机器下线、五台新机器上线。我的做法是每周固定跑一次轻量扫描，只探存活和常见端口，变化部分再深入。这样既不会漏掉新增资产，也不会因为频繁全扫被运维找上门。

说到底，探测是手段，不是目的。目的是让网络里每一台设备、每一个端口、每一项服务都有人认领、有人负责。那些没人认领的，就是下一个入口。