如果Nmap扫描探测服务过程中如有HTTP协议，则User-Agent也会有明显的特征。例如会出现nmap关键字。

 

但是User-Agent可以被修改，如果被修改的话，我们可以通过告警的次数进行判断（同一源IP），看是否是大量的扫描告警，来进行进一步判断。