使用 Linux Sniffer 检测入侵的实用流程
一 工具选型与定位
- 抓包与快速排查：使用tcpdump进行实时捕获与BPF过滤，或将流量落盘后用Wireshark做深度协议分析。适合临时排查、验证可疑连接与重现问题。
- 持续检测与告警：部署Snort作为NIDS（网络入侵检测系统），基于规则对流量进行模式匹配并生成告警，适合常态化监测与取证。
- 主机侧补充：配合OSSEC等HIDS从日志与系统行为侧发现入侵线索，与网络侧嗅探形成互补。
二 快速上手 tcpdump 发现可疑流量
- 安装与基础捕获：在目标主机安装 tcpdump，监听所有接口或指定网卡，观察异常连接与异常端口。示例：
sudo apt-get install tcpdump；sudo tcpdump -i any 或 sudo tcpdump -i eth0。
- 只抓取关键流量：用BPF表达式聚焦常见攻击面，例如 HTTP/HTTPS、数据库、SMB、SSH 等。示例：
sudo tcpdump -i eth0 port 80 or port 443 or port 3306 or port 445 or port 22。
- 落盘与事后分析：将流量写入文件，便于用 Wireshark 细查载荷与重放分析。示例：
sudo tcpdump -i any -w capture.pcap。
- 图形化分析：在桌面环境安装Wireshark并打开 pcap 文件，结合协议树、追踪流与显示过滤器定位可疑会话与攻击特征。
三 用 Snort 搭建持续入侵检测
- 三种工作模式：
- 嗅探器：
snort -v[-d][-X]，打印包头/应用层/原始包；
- 数据包记录器：
snort -l <目录> [-b]，将包记录到文件（二进制更快）；
- 入侵检测模式：
snort -c <snort.conf>，载入规则库进行实时检测与告警。
- 最小可用配置步骤：
- 安装 Snort；2) 准备规则目录与本地规则文件（如**/etc/snort/rules/local.rules**）；3) 校验配置：
snort -T -c /etc/snort/snort.conf；4) 启动检测：snort -A fast -d -h <HOME_NET> -l <日志目录> -c /etc/snort/snort.conf（前台）或加**-D**后台运行；5) 查看告警：tail -f /var/log/snort/alert。
- 规则与特征示例：在local.rules中加入针对本机业务的精细化规则，例如检测对3306端口的可疑访问：
alert tcp any any -> $HOME_NET 3306 (msg:"Suspicious MySQL access"; flow:to_server,established; content:"|0A 00 00 01 85 04 00 00 80|root|00|"; classtype:protocol-command-decode; sid:1000001; rev:1;)
提示：生产环境建议启用官方/社区规则集，并按需微调，避免漏报与误报。
- 规则维护与自动化：使用PulledPork自动下载与更新规则，示例：
pulledpork.pl -c /etc/snort/pullpork.conf -l，并加入crontab每日更新。
四 常见攻击的抓包识别要点
- DDoS/异常突发流量：短时间内出现大量包或特定协议突发，源/目的端口分布异常，带宽占用飙升。
- SQL 注入尝试：HTTP 请求参数或载荷中出现可疑 SQL 片段（如
' OR 1=1、UNION SELECT、sleep( 等）。
- XSS 与 Web 攻击：HTTP 响应中包含可疑脚本标签/事件（如
<script>、onerror=、javascript:）。
- 端口扫描与暴力破解：对同一目标的多端口/多协议快速连接尝试，或 SSH/RDP 等登录失败激增。
- 可疑外联：内网主机主动连接非常见端口或已知C2端口，或对外发起异常 DNS/HTTP 请求。
- 辅助工具：结合iftop/NetHogs快速定位异常带宽与进程，配合抓包验证。
五 合规与性能注意事项
- 合法授权：仅在自有网络/明确授权范围内抓包与分析，避免触犯隐私与合规要求。
- 性能影响：嗅探与全量日志会带来CPU/磁盘/内存压力；合理设置BPF 过滤、采样/切分文件、控制保存时长，必要时采用远程抓包/镜像端口降低本机负载。
- 持续运营：保持规则库更新、定期审计告警与误报、与主机侧HIDS/日志联动，形成闭环响应。