Linux Sniffer检测异常流量主要通过以下方式：
- 流量捕获：借助tcpdump、Wireshark等工具，在混杂模式下捕获网络接口所有数据包。
- 基准线建模：建立正常网络流量特征模型（如带宽、协议占比等），偏离时判定为异常。
- 统计分析：利用工具统计功能，识别突发流量、异常协议等。
- 规则匹配：配置已知恶意流量签名规则，匹配时报警。
- 行为分析：结合行为分析技术，学习正常模式，识别异常行为。
常用工具包括tcpdump（命令行，如sudo tcpdump -i eth0 port 80捕获特定端口流量）、Wireshark（图形化，支持过滤分析）、Etherape（可视化流量监控）等。使用时需注意权限、性能影响及数据合规性。