Ubuntu 环境下防范 Sniffer 安全威胁
一 基本认识与风险
- Sniffer（嗅探器）是用于捕获与分析网络数据包的工具，本身并不等同于攻击工具；但在被滥用或设备被入侵时，可能被用来窃取明文凭证与敏感数据。嗅探器通常需要在网卡上启用混杂模式才能捕获所有经过的帧，而在 Linux/Unix 上，只有root才有权限将接口置入混杂模式，这也是抓包通常需要管理员权限的原因。因此，防范的核心在于：限制嗅探能力、降低可被嗅探的数据价值、及时发现异常监听。
二 主机与访问控制加固
- 保持系统与软件及时更新：执行
sudo apt update && sudo apt upgrade -y，及时修补漏洞。
- 强化 SSH：在
/etc/ssh/sshd_config 中设置 PermitRootLogin no、PasswordAuthentication no，使用SSH 密钥登录，必要时更改默认端口（如 2222），并重启 sshd。
- 最小权限与命令授权：日常使用普通用户，抓包按需
sudo；仅授权必要人员执行嗅探命令，例如对 tcpdump 设置可执行权限为 750 并限制所属组。
- 边界防护：使用 UFW 或 iptables 仅开放必需端口（如 22/80/443），默认拒绝其他入站；示例：
sudo ufw allow 2222/tcp && sudo ufw enable。
- 反暴力破解：部署 Fail2Ban 自动封禁反复失败的登录来源。
- 关闭不必要服务与端口，减少攻击面。
三 网络层与加密防护
- 优先使用加密传输：以 SSH/TLS/HTTPS 替代 Telnet/FTP/POP3 等明文协议，确保即使被嗅探也无法还原敏感信息。
- 网络分段与隔离：通过交换机与VLAN划分网段，将敏感系统与不可信网络/主机隔离，限制嗅探的影响范围。
- 防 ARP 欺骗：在关键网段配置静态 ARP 表或启用动态 ARP 检测，降低中间人嗅探风险。
- 精细化抓包：配置嗅探器仅捕获必要流量（BPF 过滤表达式），避免无谓的数据暴露与性能压力。
四 监测检测与响应
- 识别混杂模式迹象：嗅探器需将网卡置为混杂模式才能捕获全网流量，该操作在 Linux 上通常需要root；结合系统进程审计与网络行为分析，留意异常抓包进程与接口状态。
- 部署 IDS/IPS：使用 Snort/Suricata 对异常流量与扫描行为进行实时告警/阻断，并与嗅探结果关联分析。
- 集中日志与审计：通过 rsyslog/syslog-ng 将系统与嗅探日志集中到安全审计服务器，配合 Fail2Ban/Logwatch 做自动化监控与报表。
- 取证与加固：对可疑抓包文件与配置变更进行完整性校验与加密归档；发现入侵后按预案隔离主机、撤销密钥、修补漏洞并复核访问权限。
五 合规与操作清单
- 合法合规：任何抓包与监控必须获得明确授权，避免侵犯隐私与违反法规。
- 最小暴露：仅抓取必要流量，对捕获文件加密存储（如
openssl enc -aes-256-cbc -in capture.pcap -out capture.pcap.enc），严控访问权限与共享范围。
- 工具与权限最小化：仅授权可信人员使用嗅探工具，遵循最小权限原则与职责分离。
- 快速加固命令清单（示例）：
- 系统更新：
sudo apt update && sudo apt upgrade -y
- SSH 加固：
sudo sed -i 's/^#*PermitRootLogin.*/PermitRootLogin no/' /etc/ssh/sshd_config && sudo sed -i 's/^#*PasswordAuthentication.*/PasswordAuthentication no/' /etc/ssh/sshd_config && sudo systemctl restart ssh
- 防火墙：
sudo ufw allow 2222/tcp && sudo ufw enable
- 抓包最小化：
sudo tcpdump -i eth0 -w capture.pcap 'port 443 or port 22'（按需调整过滤表达式）
