嗅探网络流量以寻找病毒/间谍软件的迹象答案

【问题标题】：Sniffing network traffic for signs of viruses/spyware嗅探网络流量以寻找病毒/间谍软件的迹象
【发布时间】：2008-09-24 00:33:51
【问题描述】：

如何将系统连接到网络并嗅探与病毒/间谍软件相关的流量？我想插入网线，启动适当的工具并让它扫描数据以查找任何问题迹象。我不希望这能找到所有东西，这不是为了防止初始感染，而是帮助确定是否有任何东西试图主动感染其他系统/导致网络问题。

除非流量非常明显，否则运行常规网络嗅探器并手动查看结果是不好的，但我无法找到任何工具来自动扫描网络数据流。

【问题讨论】：

【解决方案1】：

我强烈建议您在网络核心附近某处的机器上运行Snort，并从您的核心网络路径的某处跨越（镜像）一个（或多个）端口到相关机器。

Snort 能够扫描它看到的网络流量，并在发现可疑情况时通过各种方法自动通知您。如果需要，甚至可以进一步采取措施，在发现某些东西时自动断开设备等。

【讨论】：

【解决方案2】：

【讨论】：

【解决方案3】：

您可以让Snort 扫描流量以查找病毒。我认为这将是您的最佳解决方案。

【讨论】：

【解决方案4】：

要查看本地网络流量，您最好的选择（使用合适的交换机）是设置您的交换机以将所有数据包路由到特定接口（以及它通常发送的任何接口）。这使您可以通过将流量转储到特定端口来监控整个网络。

但是，在 100 兆位网络上，您需要交换机上的千兆位端口将其插入或过滤协议（例如修剪 HTTP、FTP、打印、来自文件服务器的流量等），或者你的交换机的缓冲区会立即填满，它会开始丢弃它需要的任何数据包（你的网络性能将会下降）。

【讨论】：

【解决方案5】：

这种方法的问题在于，当今大多数网络都在交换机上，而不是集线器上。因此，如果您将带有数据包嗅探器的机器插入交换机，它将只能看到进出嗅探机的流量；和网络广播。

【讨论】：

【解决方案6】：

作为Ferruccio's 评论的后续行动，您需要找到一些绕过开关的方法。

许多网络交换机可以选择设置端口镜像，以便将所有流量（无论目的地如何）复制或“镜像”到指定端口。如果您可以配置您的交换机来执行此操作，那么您就可以在此处附加您的网络嗅探器。

【讨论】：

【解决方案7】：

Network Magic，如果您不介意非开源的东西。

【讨论】：

【解决方案8】：

【讨论】：