使用 ntop 跟 Wireshark 来侦测网路异常流量

最新推荐文章于 2025-03-22 11:01:34 发布

ystuan

最新推荐文章于 2025-03-22 11:01:34 发布

阅读量2.7k

点赞数

文章标签： windows suse linux filter 跨平台作业

本文链接：https://blog.youkuaiyun.com/ystuan/article/details/5058285

版权

本文介绍了如何通过三个步骤检测网络异常流量的来源。首先，找到一个所有流量都经过的节点，如设置镜像端口或使用集线器。其次，安装并使用ntop监控流量，找出异常IP。最后，利用Wireshark，通过过滤特定IP查看详细封包内容。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

(2009/12/4发表于台湾乐多日志)

常常看到 iT邦帮忙有网友在问如何找出网路异常流量的来源，一时手痒回了一篇三步骤抓出网路异常流量的ip ，决定搬回来网志放着。又，下文中提到的在MS Windows安装、使用 ntop 跟在（SUSE Studio 客制化的 openSUSE 11.1 ）Linux 环境下使用 ntop ，我都简单实做一次了（算是PoC, Proof of Concept)，将会陆续发表 。

第一步骤：找出一个所有封包会经过的节点
既然要监控流量，就要找一个点，是相关流量都会经过的。不然现在都是 switch 的环境，虽然 Wireshark 跨平台，很多作业系统都可以装，妳高高兴兴的装好，打开看到一堆封包，正在嗨的时候，才发现那些封包都是本机跟别人的流量，别台机器的流量都被 switch 区隔开啦！（看到少量别台机器的封包也先别急着高兴，应该都是 broadcast 之类的）

所以如果环境有 switch ，就需要开一个 mirror port，把装好 Wireshark 的电脑插上那个 port 。

不然，如果环境可以串一个 dumb hub 也行，这样所有的流量都会经过这个 hub ，把那台装好 Wireshark 的机器也插上去，就可以监控所有