CentOS sniffer如何进行网络安全监控

CentOS 上使用 Sniffer 进行网络安全监控

一 部署与授权

• 在 CentOS 上常用的嗅探与流量分析工具包括：tcpdump、tshark、ngrep、Go-Sniffer，以及基于规则的入侵检测系统 Snort。这些工具可覆盖从快速抓包到协议解析、从命令行到图形化的多种监控需求。安装示例：sudo yum install -y tcpdump；sudo yum install -y wireshark-cli（含 tshark）；sudo yum install -y ngrep；Go-Sniffer 需先安装 libpcap 与 Go 环境后获取二进制并放入 PATH。抓包通常需要 root 权限或具备 CAP_NET_RAW 能力。务必确保对目标网络与主机拥有明确授权，嗅探可能捕获明文凭据与敏感数据，不当使用会触犯法律与合规要求。

二 快速上手抓包与过滤

• 使用 tcpdump 进行实时监控与落盘分析：sudo tcpdump -i eth0 -w capture.pcap（按实际接口名替换）；按协议/主机/端口过滤：sudo tcpdump -i eth0 ‘tcp port 80 and host 192.168.1.1’；仅抓取 100 个包：sudo tcpdump -i eth0 -c 100；实时显示便于管道处理：sudo tcpdump -i eth0 -l。
• 使用 tshark 进行命令行深度解析：sudo tshark -i eth0 -w capture.pcap；按端口过滤：sudo tshark -i eth0 port 80；复杂过滤：sudo tshark -i eth0 ‘tcp port 80 and host 192.168.1.1’。
• 使用 ngrep 做模式匹配：ngrep -d eth0 ‘GET /’；按主机过滤：ngrep -d eth0 host 192.168.1.1。
• 使用 Go-Sniffer 针对常见服务快速抓包：go-sniffer eth0 redis -p 6379 out.log；go-sniffer eth0 mysql -p 3306。抓包完成后，可用 Wireshark 打开 .pcap 文件进行可视化分析。

三 交换机镜像与部署拓扑

• 在交换网络中，嗅探器通常只能看到本机所在网段的流量。为监控跨主机/跨网段链路，需在交换机上配置端口镜像（SPAN/RSPAN）。例如：Cisco 交换机可创建监控会话，将源端口（如 Fa0/1）流量镜像到目的端口（如 Fa0/4），随后在目的端口所连的嗅探主机上抓包即可获取完整双向流量。该方式也是企业级流量统计与异常分析的常用实践。

四 监控项与异常行为识别

• 利用过滤器与统计视图，围绕以下维度开展持续监控与告警：
  • 暴力破解 SSH：过滤 port 22 与大量失败登录特征，结合日志（如 /var/log/secure）定位来源 IP 与频次。
  • DDoS/带宽耗尽：观察 SYN_RECV、异常 TIME_WAIT 堆积与带宽打满，识别 SYN Flood、UDP/ICMP 放大等。
  • 挖矿木马：异常 CPU/GPU 占用与可疑进程名（如 xmrig），外联矿池域名/IP。
  • 后门/木马/Webshell：异常监听端口、可疑 crontab、网站目录新增可执行脚本。
  • 蠕虫传播/内网扫描：短时间内大量连接尝试、对外网段扫描行为。
  • 勒索病毒：文件后缀异常（如 .lock/.encrypted）、/tmp 下未知可执行文件。
  • SQL 注入：应用日志中出现 union select、or 1=1 等特征，数据库负载异常。
  • DNS 劫持：resolv.conf 被篡改、解析异常、域名指向异常 IP。
  • 恶意代理/隧道：进程如 socat/nc/iodine，对外 443/80 异常长连接。
  • ARP 欺骗：arp -a 显示网关 MAC 异常、ARP 报文激增、内网通信异常。以上模式可结合 BPF 过滤器与统计/会话功能实现准实时发现与取证。

五 合规与安全加固

• 最小化捕获与脱敏：仅抓取必要的接口/协议/主机/端口，对落盘与传输的数据进行加密与访问控制；避免在生产环境长期开启全量抓包。
• 主机与网络安全：定期执行 yum update -y 与补丁管理；仅开放必要端口，使用 firewalld/iptables 实施最小暴露面；SSH 强制密钥登录、禁用密码登录；关闭不必要的服务与内核模块。
• 入侵检测联动：部署 Snort/Suricata 等 IDS/IPS，用规则引擎对可疑流量进行实时告警/阻断，与抓包结果交叉验证。
• 交换侧防护：在条件允许时配置静态 ARP、动态 ARP 检测（DAI）等，降低 ARP 欺骗 风险。
• 合法合规：在任何网络开展嗅探前，务必取得资产所有方授权并遵守当地法律与隐私政策；对敏感数据实施最小化原则与留痕审计。