CentOS Sniffer日志分析方法

CentOS Sniffer日志分析方法

一、准备工作：安装Sniffer工具

在CentOS系统中，常用Sniffer工具为tcpdump（命令行）和Wireshark（图形界面）。若未安装，可通过以下命令安装：

sudo yum install tcpdump wireshark # 安装tcpdump和Wireshark

二、捕获网络流量（生成Sniffer日志）

使用tcpdump捕获网络接口流量，并保存为.pcap文件（供后续分析）：

# 基本捕获：监听eth0接口的所有流量 sudo tcpdump -i eth0 -w sniffer_output.pcap # 过滤特定流量：仅捕获80端口（HTTP）的流量 sudo tcpdump -i eth0 port 80 -w http_traffic.pcap # 限制捕获数量：捕获100个数据包后停止 sudo tcpdump -i eth0 -c 100 -w limited_capture.pcap

说明：-i指定接口，-w保存为.pcap文件，port过滤特定端口，-c限制数据包数量。

三、使用Wireshark图形界面分析日志

Wireshark是分析.pcap文件的常用工具，操作步骤如下：

打开日志文件：启动Wireshark，点击File > Open，选择生成的.pcap文件（如sniffer_output.pcap）。
过滤流量：使用显示过滤器快速定位目标流量：
- 过滤HTTP流量：tcp.port == 80
- 过滤DNS流量：udp.port == 53
- 过滤特定IP的流量：ip.addr == 192.168.1.100
分析数据包详情：双击数据包可查看其分层结构（以太网帧、IP包、TCP/UDP段、应用层数据），提取源/目的地址、端口、协议类型、数据内容等信息。
统计流量：点击Statistics菜单，查看协议分布（Protocol Hierarchy）、流量趋势（Conversations）、数据包大小分布等统计信息，快速识别异常流量（如大量SYN包可能为DDoS攻击）。

四、使用命令行工具分析日志

若偏好命令行，可使用tshark（Wireshark的命令行版本）或tcpdump直接分析.pcap文件：

tshark查看数据包摘要：

tshark -r sniffer_output.pcap # 显示所有数据包的摘要信息 tshark -r sniffer_output.pcap -Y "tcp.port == 80" # 过滤HTTP流量

tcpdump读取日志并过滤：

tcpdump -r sniffer_output.pcap -A # 以ASCII格式显示数据包内容（便于查看HTTP请求/响应） tcpdump -r sniffer_output.pcap | grep "GET" # 过滤HTTP GET请求

五、日志分析与故障排查技巧

识别异常流量：通过Wireshark的统计功能查看是否有大量异常流量（如广播包过多、特定端口的异常连接），或通过tcpdump过滤icmp（ping）流量判断是否存在ICMP Flood攻击。
检查协议问题：过滤特定协议（如DNS、HTTP）的流量，查看是否有大量超时（如TCP重传tcp.analysis.retransmission）、连接失败（如TCP SYN未收到ACK）的情况。
关联系统日志：结合journalctl查看系统日志，确认是否有网络服务故障（如sshd服务崩溃）或网络设备异常（如网卡down）：
```
journalctl -u sshd --since "2025-09-20" # 查看sshd服务的近期日志 journalctl -k | grep "network error" # 查看内核日志中的网络错误 
```

六、日志管理建议

对于长期运行的Sniffer，需定期管理日志文件，防止占用过多磁盘空间：

使用logrotate轮转日志：编辑/etc/logrotate.conf或创建自定义配置文件（如/etc/logrotate.d/sniffer），设置日志轮转周期（如每天）、保留数量（如7天）：
```
/var/log/sniffer/*.pcap { daily rotate 7 compress missingok notifempty } 
```
定期清理旧日志：手动删除超过保留期限的.pcap文件：
```
find /var/log/sniffer -name "*.pcap" -mtime +7 -delete 
```

注意事项

合法性：捕获网络流量前需获得授权，遵守《网络安全法》等法律法规，避免侵犯用户隐私。
权限控制：Sniffer工具需root权限运行，避免普通用户滥用导致安全风险。
资源占用：长时间捕获大量流量会占用较多CPU和内存，建议在非高峰时段进行或限制捕获范围。