CentOS 环境下 Sniffer 可检测的网络攻击类型
概念澄清
- 在 CentOS 上，所谓“Sniffer”通常指两类工具：
- 通用抓包嗅探器：如 tcpdump、Wireshark，被动捕获并解析链路流量，擅长流量特征观察与事后取证。
- 带规则库的入侵检测系统：如 Snort，基于规则对流量进行模式匹配、协议分析与实时告警。两者能力边界不同：嗅探器偏“看见”，IDS 偏“识别与告警”。
通用嗅探器 tcpdump Wireshark 可识别的攻击迹象
- DDoS/异常流量洪泛：观察到某协议/端口出现突发的大流量、连接数激增、SYN/ICMP/UDP 报文异常集中等特征，用于初步判断洪泛或放大攻击迹象。
- 端口扫描与主机探测：大量对不同端口的短时间连接尝试、半开连接（SYN 扫描）、常见探测报文（如 SMB、HTTP 探测）等。
- Web 攻击特征线索：在 HTTP 流量中检索可疑关键字或片段，如 SQL 注入 常见 payload（例如包含 “SELECT/UNION/‘ OR 1=1” 等）、XSS 反射特征等，用于发现应用层攻击尝试。
- 暴力破解迹象：对 SSH、FTP、RDP、数据库 等服务的短时间内高频失败登录尝试与重复认证报文。
- 注：嗅探器能“看到”上述迹象并辅助分析，但通常需要结合阈值判断、基线对比或联动其他工具，才能确认为攻击事件。
Snort IDS 可识别的典型攻击与异常
- 网络与端口扫描：识别多种扫描方式（如 TCP SYN 扫描、FIN/Xmas/NULL 扫描、分片扫描）与隐形扫描行为。
- 操作系统指纹识别尝试：检测 TCP/IP 指纹 探测报文，识别对方在探测主机类型与版本。
- 应用层攻击特征：基于规则的 缓冲区溢出、CGI 攻击、SMB 探测 等模式匹配与告警。
- 协议异常与畸形流量：借助预处理插件进行 HTTP 解码、TCP 重组、IP 分片重组，发现异常分片、异常握手与畸形报文。
- 规则可扩展的入侵检测：通过更新规则库，覆盖新的漏洞利用与攻击手法，实现持续检测能力。
部署与使用要点
- 使用嗅探器进行实时捕获与事后分析：如 tcpdump -i eth0 -w capture.pcap 保存流量，再用 Wireshark 细查；必要时配合 iftop、NetHogs 观察带宽与进程占用，定位异常来源。
- 使用 Snort 实现规则驱动检测：在 CentOS 上可部署 Snort，启用规则后进入 入侵检测模式 实时告警；通过工具（如 PulledPork）自动更新规则库，覆盖最新威胁。
- 合法合规与性能：抓包与检测需获得明确授权；长时间全量抓包会带来性能与存储压力，建议设置合适的 BPF 过滤、采样或告警阈值，必要时联动 iptables/firewalld 做应急阻断。