CentOS Sniffer可检测的异常流量类型
在CentOS上，所谓“Sniffer”通常指具备抓包与分析能力的工具（如tcpdump、Wireshark、Etherape等）。它们以被动方式工作，将网卡置于混杂模式并解析多协议流量，从而识别偏离基线的异常通信与可疑行为。此类工具本身不直接判定“恶意”，但可基于流量特征与IOC（入侵指标）提供高价值线索。
可识别的异常流量类别
| 类别 | 典型异常表现 | 常见线索或检测点 |
|---|---|---|
| DDoS/泛洪与带宽异常 | 突发的大流量、单一来源/目的的高包速率、协议占比异常 | 单位时间包数/字节数激增、某IP或网段的连接数异常、TOP Talker 集中 |
| 扫描与探测 | 全端口或分片扫描、ARP/ICMP/DNS异常探测 | 大量不同目的端口的SYN/ICMP/ARP请求、异常DNS查询模式 |
| 暴力破解与异常登录 | SSH/RDP/数据库等高频失败登录、非常规时段访问 | 短时间内多次失败握手、非常规源IP集中尝试 |
| Web攻击特征 | SQL注入、XSS、目录遍历等攻击载荷 | HTTP请求中出现可疑SQL片段、脚本标签、…/ 等路径遍历特征 |
| 恶意软件通信与C2 | 与已知恶意域/IP的长连接、心跳/回连、隧道化流量 | 与威胁情报IOC匹配的域名/IP、固定周期回连、非常规端口通信 |
| P2P/BT与违规应用 | 大量上传、协议占比异常、未知协议流量 | 协议分布图中“Other”占比高、与常见P2P端口或特征流量吻合 |
| 协议与配置异常 | 非标准端口承载常用协议、异常分片/畸形报文 | 高端口承载HTTP/FTP、异常TTL/校验和、碎片攻击特征 |
| 数据外泄与可疑传输 | 大文件外传、对外异常数据通道 | 某主机对外持续大流量、非常规协议外联、加密隧道外联 |
上述类别可通过流量统计、协议解析与行为基线对比来发现，例如识别DDoS的突发流量、定位P2P占用的异常带宽、发现SQL注入/XSS等攻击特征，以及通过IOC匹配发现恶意软件C2迹象。
常用工具与快速命令示例
sudo tcpdump -i eth0 -nn -s0 -w capture.pcap-i指定接口，-nn不解析主机名/端口，-s0抓取完整包，-w写入文件便于后续分析。sudo tcpdump -i eth0 host 目标IP and tcpcapture.pcap，结合显示过滤器（如http、dns、tcp.flags.syn==1 and tcp.flags.ack==0）定位异常会话与载荷。部署与合规要点
