在网络安全监控领域，Linux Sniffer 是一个非常实用的工具。它能捕捉到哪些类型的攻击？梳理下来，常见的检测场景主要集中在以下几类。
恶意软件攻击
这类攻击最典型的例子就是挖矿病毒——系统CPU或GPU持续飙到100%，跑着一些从未见过的异常进程，一看就是有人在拿你的机器挖币。还有蠕虫病毒，感染后会在短时间内造成大量文件变动，磁盘I/O负载异常升高，仿佛系统在“疯狂搬运”什么东西。
DoS/DDoS攻击
服务器带宽被莫名其妙占满，网络响应变得极慢，甚至直接断联。更具体的迹象是连接状态里出现大量SYN_RECV——这意味着有人在伪造大量半开连接，耗尽你的连接能力。遇到这种情况，基本可以确定是遭遇了拒绝服务攻击。
入侵攻击
最常见的是暴力破解：检查日志会发现大量失败的登录记录，陌生IP反复尝试SSH或网站后台密码。另一个危险点是SQL注入——数据库进程突然异常，日志里出现可疑的查询语句（比如 union select 之类的关键词），说明攻击者正在试图窃取数据。
异常通信攻击
ARP欺骗是个老手法，但依然有效。如果发现网关MAC地址莫名其妙变了，或者局域网内通信出现奇怪的丢包、中断，就要怀疑有人在搞ARP毒化。DNS劫持也不少见——明明访问的是正常网站，却被解析到了其他IP，这种往往会在DNS查询日志中留下痕迹。
隐蔽通道攻击
后门木马倾向于隐藏自己：它们会伪装成系统进程，在上面监听异常端口（比如非标准端口上开着SSH或远程控制服务）。还有一些恶意袋里或隧道工具，比如常用的反向袋里软件被偷偷部署后，大量连接涌向特定端口，那些端口本来不应该对外开放。这些“躲在暗处”的通信，正好是Sniffer的用武之地。
总的来说，Linux Sniffer 的价值在于它能看到网络层面最原始的数据包，无论攻击者怎么隐藏，只要产生网络流量，就有可能被嗅探出来。当然，这只是检测能力的一个概览，实际部署时还需要结合具体场景配置过滤规则，才能发挥最大作用。
