如何通过Linux Sniffer检测入侵

使用 Linux Sniffer 检测入侵的实用流程

一 工具选型与定位

• 抓包与快速排查：使用tcpdump进行实时捕获与BPF过滤，或将流量落盘后用Wireshark做深度协议分析。适合临时排查、验证可疑连接与重现问题。
• 持续检测与告警：部署Snort作为NIDS（网络入侵检测系统），基于规则对流量进行模式匹配并生成告警，适合常态化监测与取证。
• 主机侧补充：配合OSSEC等HIDS从日志与系统行为侧发现入侵线索，与网络侧嗅探形成互补。

二 快速上手 tcpdump 发现可疑流量

• 安装与基础捕获：在目标主机安装 tcpdump，监听所有接口或指定网卡，观察异常连接与异常端口。示例：sudo apt-get install tcpdump；sudo tcpdump -i any 或 sudo tcpdump -i eth0。
• 只抓取关键流量：用BPF表达式聚焦常见攻击面，例如 HTTP/HTTPS、数据库、SMB、SSH 等。示例：sudo tcpdump -i eth0 port 80 or port 443 or port 3306 or port 445 or port 22。
• 落盘与事后分析：将流量写入文件，便于用 Wireshark 细查载荷与重放分析。示例：sudo tcpdump -i any -w capture.pcap。
• 图形化分析：在桌面环境安装Wireshark并打开 pcap 文件，结合协议树、追踪流与显示过滤器定位可疑会话与攻击特征。

三 用 Snort 搭建持续入侵检测

• 三种工作模式：
  • 嗅探器：snort -v[-d][-X]，打印包头/应用层/原始包；
  • 数据包记录器：snort -l < 目录> [-b]，将包记录到文件（二进制更快）；
  • 入侵检测模式：snort -c < snort.conf> ，载入规则库进行实时检测与告警。
• 最小可用配置步骤：
  1. 安装 Snort；2) 准备规则目录与本地规则文件（如**/etc/snort/rules/local.rules**）；3) 校验配置：snort -T -c /etc/snort/snort.conf；4) 启动检测：snort -A fast -d -h < HOME_NET> -l < 日志目录> -c /etc/snort/snort.conf（前台）或加**-D**后台运行；5) 查看告警：tail -f /var/log/snort/alert。
• 规则与特征示例：在local.rules中加入针对本机业务的精细化规则，例如检测对3306端口的可疑访问：
  alert tcp any any -> $HOME_NET 3306 (msg:"Suspicious MySQL access"; flow:to_server,established; content:"|0A 00 00 01 85 04 00 00 80|root|00|"; classtype:protocol-command-decode; sid:1000001; rev:1; )
  提示：生产环境建议启用官方/社区规则集，并按需微调，避免漏报与误报。
• 规则维护与自动化：使用PulledPork自动下载与更新规则，示例：pulledpork.pl -c /etc/snort/pullpork.conf -l，并加入crontab每日更新。

四 常见攻击的抓包识别要点

• DDoS/异常突发流量：短时间内出现大量包或特定协议突发，源/目的端口分布异常，带宽占用飙升。
• SQL 注入尝试：HTTP 请求参数或载荷中出现可疑 SQL 片段（如' OR 1=1、UNION SELECT、sleep( 等）。
• XSS 与 Web 攻击：HTTP 响应中包含可疑脚本标签/事件（如 < script> 、onerror=、javascript:）。
• 端口扫描与暴力破解：对同一目标的多端口/多协议快速连接尝试，或 SSH/RDP 等登录失败激增。
• 可疑外联：内网主机主动连接非常见端口或已知C2端口，或对外发起异常 DNS/HTTP 请求。
• 辅助工具：结合iftop/NetHogs快速定位异常带宽与进程，配合抓包验证。

五 合规与性能注意事项

• 合法授权：仅在自有网络/明确授权范围内抓包与分析，避免触犯隐私与合规要求。
• 性能影响：嗅探与全量日志会带来CPU/磁盘/内存压力；合理设置BPF 过滤、采样/切分文件、控制保存时长，必要时采用远程抓包/镜像端口降低本机负载。
• 持续运营：保持规则库更新、定期审计告警与误报、与主机侧HIDS/日志联动，形成闭环响应。

声明：本文内容由网友自发贡献，本站不承担相应法律责任。对本内容有异议或投诉，请联系2913721942#qq.com核实处理，我们将尽快回复您，谢谢合作！