如何使用Linux Sniffer进行安全监控

一、准备工作：安装Sniffer工具
在Linux系统中，常用的Sniffer工具包括命令行的tcpdump（轻量级、易操作）和图形化的Wireshark（功能全面、可视化强）。安装步骤因发行版而异：

• Debian/Ubuntu系统：通过APT包管理器安装，执行sudo apt-get update && sudo apt-get install tcpdump wireshark -y即可完成tcpdump和Wireshark的安装。
• CentOS/RHEL系统：使用YUM包管理器，执行sudo yum install tcpdump wireshark -y进行安装。
• 源码编译安装（可选）：若需要更灵活的功能，可从GitHub克隆netsniff等项目源码，通过make和sudo make install编译安装（需提前安装依赖库，如build-essential、libncurses5-dev等）。

二、启动Sniffer并捕获流量

1. 选择监控接口：使用ifconfig（旧版）或ip a（新版）命令查看网络接口（如eth0、wlan0），确认要监控的接口名称。
2. 基础捕获命令：以root权限运行tcpdump，指定接口即可开始捕获流量，例如sudo tcpdump -i eth0。该命令会实时显示经过eth0接口的所有数据包。
3. 保存捕获结果：为便于后续分析，可将捕获的数据包保存到文件（如capture.pcap），命令为sudo tcpdump -i eth0 -w /path/to/capture.pcap。后续可使用Wireshark打开该文件进行详细分析。

三、过滤流量：聚焦关键信息
直接捕获所有流量会导致数据量过大，需通过过滤表达式缩小范围，常见场景如下：

• 按协议过滤：捕获HTTP流量（端口80），命令为sudo tcpdump -i eth0 port 80；捕获HTTPS流量（端口443），命令为sudo tcpdump -i eth0 port 443。
• 按IP地址过滤：监控特定主机的流量（如192.168.1.100），命令为sudo tcpdump -i eth0 host 192.168.1.100；监控与某主机的通信（如192.168.1.100与192.168.1.200之间的流量），命令为sudo tcpdump -i eth0 host 192.168.1.100 and host 192.168.1.200。
• 按端口过滤：捕获特定端口的流量（如SSH端口22），命令为sudo tcpdump -i eth0 port 22。

四、分析流量：识别安全威胁

1. 命令行快速分析：使用tcpdump的内置选项快速查看流量特征，例如sudo tcpdump -i eth0 -n count可统计每个IP的连接数，帮助发现异常高频连接的IP。
2. 图形化深入分析：将捕获的pcap文件导入Wireshark（通过wireshark /path/to/capture.pcap命令），通过其可视化界面查看数据包的详细信息（如源/目的IP、端口、协议、 payload）。重点关注以下异常：
   • DDoS攻击：流量突然激增（如Wireshark中“Statistics > Conversations”显示某IP的流量占比过高）。
   • SQL注入：HTTP请求中包含SELECT * FROM、UNION SELECT等SQL关键字（可通过Wireshark的“Filter > http.request.method == POST`筛选POST请求，查看payload）。
   • XSS攻击：HTTP响应中包含<script>、onerror=等恶意脚本标签（通过Wireshark的“Filter > http.response.body`筛选响应内容）。

五、结合其他工具：强化监控能力

1. iftop：实时监控流量带宽占用，通过sudo apt-get install iftop（Debian/Ubuntu）或sudo yum install iftop（CentOS/RHEL）安装，运行sudo iftop -i eth0即可查看各连接的带宽使用情况，快速定位占用高带宽的进程或IP。
2. NetHogs：按进程统计流量，安装命令为sudo apt-get install nethogs（Debian/Ubuntu）或sudo yum install nethogs（CentOS/RHEL），运行sudo nethogs eth0可查看每个进程的网络流量，识别异常进程（如未知进程占用大量上传带宽）。

六、安全注意事项

1. 合法性：必须在获得网络所有者或管理员明确授权的情况下使用Sniffer，禁止未经授权监控他人网络流量，否则可能违反《网络安全法》等法律法规。
2. 性能影响：Sniffer会捕获并处理大量数据包，可能占用大量CPU、内存和网络带宽。建议在非高峰时段使用，或通过过滤表达式减少捕获的数据量（如仅捕获特定端口或IP的流量）。
3. 数据保护：捕获的数据包可能包含敏感信息（如密码、个人隐私），需妥善存储（如加密pcap文件），避免泄露。使用完毕后及时删除不必要的捕获文件。