一 核心思路与工具定位
二 快速发现入侵迹象的抓包命令
聚焦常见攻击面持久化与离线分析
三 典型入侵场景与识别要点
场景抓包/IDS特征快速命令或规则示例
端口扫描
短时间内大量 SYN 到不同端口，或 SYN 后无 ACK/RST
tcpdump 过滤 SYN：‘tcp & tcp-syn != 0 and tcp & tcp-ack == 0’
DoS/DDoS
某 IP/端口突发大流量、连接数激增、畸形包
结合 iftop/NetHogs 看带宽与进程，抓包定位源/目的与协议
暴力破解 SSH
同一来源反复连接 22 端口并失败
tcpdump 过滤 22：‘tcp port 22 and (tcp & tcp-rst != 0)’
Web 攻击
HTTP 请求中含 ’ or 1=1’、union select、…/、可疑 UA
tcpdump 过滤 80/443 并导出到 Wireshark 检索关键字
可疑 DNS
异常长域名、频繁 TXT 查询、DGA 特征
tcpdump udp 53 并观察查询名长度与频率
数据外泄
内网主机向陌生外网 IP 大量外发数据
抓包按源/目的 IP 聚合统计，定位异常会话与方向
以上要点可先用 Sniffer 快速“看见”异常，再用 IDS 规则做持续检测与告警。
四 用 Snort 将嗅探升级为自动检测
规则示例（检测 ICMP 洪泛）说明：$HOME_NET 需配置为本地网段；保存后重载 Snort 使规则生效。部署建议
以上就是关于“Linux Sniffer如何识别网络入侵”的相关介绍，筋斗云是国内较早的云主机应用的服务商，拥有10余年行业经验，提供丰富的云服务器、租用服务器等相关产品服务。云服务器资源弹性伸缩，主机vCPU、内存性能强悍、超高I/O速度、故障秒级恢复；电子化备案，提交快速，专业团队7×24小时服务支持！
简单好用、高性价比云服务器租用链接：https://www.jindouyun.cn/product/cvm