[安全][通信矩阵检测]通信矩阵检测结果中存在违规开放端口
通信矩阵检测结果中存在违规开放端口，漏洞描述：通信矩阵检测结果中存在违规开放端口
检出工具：通信矩阵检测漏洞细节：
高危–TCP_40010端口不在矩阵模板中
高危–TCP_40020端口不在矩阵模板中
高危–TCP_40021端口不在矩阵模板中
高危–TCP_40023端口不在矩阵模板中
高危–TCP_40030端口不在矩阵模板中
高危–TCP_40031端口不在矩阵模板中
高危–TCP_40032端口不在矩阵模板中
高危–TCP_40033端口不在矩阵模板中
高危–TCP_40035端口不在矩阵模板中
高危–TCP_40040端口不在矩阵模板中
这些端口是做什么的？
答案内容由AI生成，仅供参考：
根据您提供的信息，设备在进行通信矩阵合规性检测时发现多个违规开放的网络端口。以下是基于所提供的知识库内容和上下文进行的详细分析与说明。
问题概述
10.66.87.192检测结果显示：多个 TCP 端口（如 40010、40020、40021、40023、40035 等）在系统中处于开放状态，但未被列入通信矩阵模板中，因此被判定为“违规开放端口”。
涉及违规端口分析| 端口号 | 是否在知识库中存在 | 服务/用途 | 是否应开放 | 风险等级 |
|---|---|---|---|---|
| TCP 23 |  是 |
Telnet 服务 |  不推荐 |
高危 |
| TCP 40010 | 是 |
framework 服务（调试端口） |
 否 |
高危 |
| TCP 40020 | 是 |
hardware 服务（调试端口） |
否 |
高危 |
| TCP 40021 | 是 |
security 服务（调试端口） |
否 |
高危 |
| TCP 40023 | 是 |
k-patentssensor / alarm 服务 |
否 |
高危 |
| TCP 40030 | 是 |
hardware 模块调试端口 |
否 |
高危 |
| TCP 40031 | 是 |
om_priv 服务调试端口 |
否 |
高危 |
| TCP 40032 | 是 |
energy 能耗管理调试端口 |
否 |
高危 |
| TCP 40033 | 是 |
ras 可靠性分析调试端口 |
否 |
高危 |
| TCP 40035 | 是 |
om 服务调试端口 (debug_console) |
否 |
高危 |
| TCP 40040 | 是 |
interface 接口服务调试端口 |
否 |
高危 |
根因分析（基于知识库） 400xx 系列端口为调试端口，仅用于开发环境依据文档 chunk #3（BMC端口扫描）中的明确说明：
“这些400xx端口不是要开放的端口。这些400xx端口是调试（构建hpm包默认-bt为debug）包中各个服务的调试（debug_console）端口……在 release包（构建 hpm包的时候加上-bt release参数）中不会开放这些端口。”
即：
40010, 40020 … 40040 端口是 各微服务的 debug_console 调试接口。
示例：
40021对应security服务40035被om服务监听（见 KG 实体关系）
Telnet（端口 23）不符合安全通信规范虽然 Telnet 在某些调试场景中可用（如 QEMU 环境），但它以明文传输数据，无加密，属于高危不安全协议。
合规通信矩阵参考（来自 openUBMC通信矩阵 文档）标准 openUBMC 固件应仅开放以下核心服务端口：
| 目的端口 | 协议 | 服务 | 描述 |
|---|---|---|---|
| 22 | TCP | SSH/SFTP/SCP | 安全远程管理（加密） |
| 80 | TCP | HTTP | 重定向到 HTTPS |
| 443 | TCP | HTTPS/Redfish | Web 管理与 API 接入 |
| 623 | UDP | IPMI | 带外管理 |
| 161 | UDP | SNMP | 网管监控 |
| 2198, 2199, 8208 | TCP | KVM/VMM | 远程控制台 |
而所有 400xx 端口 均不属于正常运行所需的服务端口，不应暴露在生产或测试环境中。
正确处理建议 1. 使用 Release 构建版本确保 BMC 固件使用 -bt release 参数构建 HPM 包：
hpm build -bt release
这样可自动禁用所有 debug_console 相关的调试端口（40010, 40020…），从根本上消除此类漏洞。
2. 禁止 Telnet，启用 SSH 3. 审查并更新通信矩阵模板当前检测工具使用的模板为：
920X_通信矩阵模板_嵌入式产品.中文.xlsx
建议：
400xx 端口为“仅限 debug 版本”，不得在 release 版本中开启。 4. 运行时端口扫描验证定期执行端口扫描命令进行自查：
nmap -sS -sV -p 1-65535 <设备IP>
比对结果是否符合通信矩阵定义，及时发现异常开放端口。
总结结论| 项目 | 结论 |
|---|---|
| 问题性质 | 高危安全违规 |
| 根本原因 | 使用了 debug 构建版本，导致大量调试端口暴露 |
| 风险影响 | 攻击者可能通过这些端口接入内部服务，获取敏感信息或执行未授权操作 |
| 是否合规 | 不符合通信矩阵规范 |
| 修复建议 | 使用 release 构建、关闭 Telnet、加强通信矩阵管理 |
-bt release构建版本后重新检测，上述“违规开放端口”问题将自动消失。
如需进一步确认具体服务映射或配置路径，可查阅：
launch.json 或 launch_control.json 文件（位于 /opt/bmc/conf/）相关链接：
@huamouwei 参考帖子 BMC端口扫描-查看开放的端口是否为产品文档中描述的端口，是否为必须开放的服务端口？
另外 23 端口 是因为debug包中带了telnet 工具， 实际上release包中不能也不会带这个工具。