Sockets em estado de escuta não têm relação com a superfície de ataque.

Um serviço está pronto para aceitar conexões, criando uma exposição cuja finalidade e necessidade devem ser verificadas.

O sistema certamente foi comprometido sempre que qualquer porta está em escuta.

O serviço pode fazer conexões de saída, mas não pode receber dados.