Ubuntu 嗅探器可检测的网络异常类型
概念与能力边界
在 Ubuntu 上，所谓“Sniffer”通常指基于libpcap的抓包与协议分析工具（如tcpdump、Wireshark）。它们通过混杂模式捕获链路上的数据包并进行解析，擅长发现“异常流量特征”和“可疑通信模式”，但本身并不等同于杀毒引擎，不能直接判定“病毒”。结合规则或统计建模时，还能扩展到对部分攻击行为的识别与告警。
可检测的典型异常类别
- 扫描与探测类：如端口扫描、主机探测等，表现为对同一目标的多端口/多协议快速连接尝试或异常 SYN 洪泛特征。
- 拒绝服务与流量异常类：如DDoS/异常突发大流量、特定协议或端口的高密度数据包，与基线相比出现显著偏差时提示异常。
- 应用层攻击特征：在 HTTP 流量中识别SQL 注入、XSS等可疑负载特征，或异常的 HTTP 请求方法与 URI 路径。
- 协议与访问异常：非典型协议调用、异常端口使用、明文凭证传输、非常规 DNS/ICMP 行为等。
- 横向移动与可疑外联：内网主机对非常规外部 IP/域名的通信、异常 SMB/SSH/RDP 访问序列等可疑行为迹象。
常用工具与检测方式
- tcpdump：命令行抓包与过滤，例如按主机与协议筛选：
sudo tcpdump host 目标IP and tcp；也可将流量写入文件后用其他工具深入分析。
- Wireshark：图形化协议分析器，支持数百种协议的深度解析与显示过滤，便于定位异常字段与会话上下文。
- Etherape：可视化网络拓扑与流量统计图，快速识别异常热点主机/协议占比。
规则与统计增强检测
- Snort3（IDS/IPS）：基于规则的检测系统，既可作为嗅探器/记录器，也可内联阻断；通过规则集识别已知攻击签名与策略违规，适合在 Ubuntu 上做持续监测与防护。
- SPADE 插件：在 Snort 中引入统计异常检测，对偏离基线的流量模式进行识别，补足纯签名法的不足。
使用与合规提示
- 抓包与监测应在合法授权范围内进行，避免侵犯隐私或违反法规。
- 长时间抓包会产生大量数据并带来性能开销，需合理设置捕获过滤、采样与存储策略，并具备相应的数据分析能力以准确判读结果。
