Linux Sniffer能用于哪些安全审计

Linux Sniffer在安全审计中的典型用途

一 核心用途

• 实时监控与异常检测：在混杂模式下捕获链路流量，建立基线画像（带宽、协议占比、响应时延），对突发高密度包、非典型协议调用、异常连接模式进行告警，识别如DDoS/暴力扫描/蠕虫传播等可疑行为。
• 恶意通信与可疑流量取证：还原可疑主机的会话，定位C2域名/IP、异常DNS/HTTP请求、可疑载荷特征，为事件响应与取证提供原始数据包证据。
• 协议合规与配置审计：审计明文协议（如HTTP/FTP/Telnet/SMTP）的使用、TLS/SSL部署与证书合规性、ARP异常（ARP欺骗/中间人迹象）、以及802.11无线管理帧异常。
• 访问控制与横向移动验证：验证VLAN/ACL/防火墙策略是否按设计生效，发现越权访问、横向移动与异常端口使用（如内网扫描、非授权服务）。
• 无线与物联网审计：在具备支持的网卡上启用监听模式，审计SSID/加密方式/连接设备，发现未授权AP/客户端、弱加密与异常管理帧。
• 故障排查支撑安全判断：定位TCP重传/零窗口/握手异常等导致的业务中断，区分网络故障与攻击行为，减少误报与漏报。

二 常见嗅探器与适用场景

三 快速上手示例

• 使用tcpdump聚焦单主机并保存证据
  • 捕获与某主机的全部流量：sudo tcpdump -i eth0 -nn -s 0 -w host_10.0.0.5.pcap host 10.0.0.5
  • 仅看TCP会话：sudo tcpdump -i eth0 -nn -s 0 host 10.0.0.5 and tcp
• 使用Wireshark/tshark定位HTTP明文凭证
  • 显示含“password”的HTTP请求：tshark -r traffic.pcap -Y 'http.request and http contains "password"' -T fields -e http.host -e http.request.uri
• 使用Etherape做实时可视化
  • 启动图形界面观察节点/协议热点，结合时间轴识别异常流量簇
• 使用Tcpreplay复现取证样本
  • 回放捕获文件：tcpreplay -i eth0 traffic.pcap 以上命令仅抓取必要流量并写入文件，便于后续分析与归档。

四 合规与部署要点

• 合法授权与最小化原则：仅在明确授权范围内抓包，避免捕获敏感/隐私数据；对日志与PCAP设置访问控制与保留周期。
• 资源与性能：抓包与长时间留存会占用CPU/磁盘/内存，建议采用环形缓冲、采样与BPF过滤降低开销。
• 无线审计前提：监听模式需网卡与驱动支持，避免影响正常业务；对生产无线环境建议安排在维护窗口并控制信道与时长。
• 证据保全：保留原始PCAP、时间戳、采集点与过滤规则；必要时计算哈希并纳入变更/事件单闭环管理。