遭遇MAC层嗅探攻击时，应依次启用交换机端口安全、实施IP-MAC双向绑定、部署网络层加密、禁用非必要接口与服务、启用macOS网络保护机制。
如果您发现局域网内存在未授权的数据截获行为，或怀疑Mac设备通信内容正被第三方捕获，则很可能是遭遇了MAC层嗅探攻击。以下是针对性的防护操作步骤：
一、启用交换机端口安全策略
通过限制每个物理端口可学习的MAC地址数量，可有效阻止攻击者利用伪造MAC地址填满CAM表后触发广播洪泛，从而规避嗅探条件。该策略直接作用于网络基础设施层，从源头抑制非法接入与流量劫持。
1、登录交换机Web管理界面或通过SSH连接至CLI。
2、进入目标接口配置模式，例如执行interface GigabitEthernet0/1。
3、启用端口安全功能：输入switchport port-security。
4、设置最大允许MAC数：执行switchport port-security maximum 1（单设备场景）或根据实际终端数设定合理上限。
5、配置违规响应模式为restrict：输入switchport port-security violation restrict，确保异常流量被丢弃并生成日志告警。
二、实施静态IP与MAC地址双向绑定
在终端设备与网关两端分别固化IP-MAC映射关系，使ARP表和交换机CAM表无法被虚假ARP报文篡改，阻断攻击者冒用合法身份发起中间人嗅探的基础路径。
1、在Mac终端上打开“系统设置”→“网络”，选择当前连接的接口，点击详细信息。
2、切换至“硬件”标签页，记录本机MAC地址：00:11:22:33:44:55（示例值，需替换为真实地址）。
3、登录路由器管理页面，在DHCP服务器设置中关闭动态分配功能。
4、进入“IP与MAC绑定”模块，添加新条目：输入Mac设备的固定IP地址及对应MAC地址。
5、保存配置并重启路由器使绑定生效。
三、部署网络层加密与协议加固
即使攻击者成功进入局域网并启用混杂模式，加密传输也能确保其捕获的数据包内容不可读，大幅降低嗅探攻击的实际危害程度。
1、在Mac上启用WPA3加密的Wi-Fi连接，避免使用WEP或开放式网络。
2、访问网站时确认地址栏显示https://且锁形图标为已验证状态。
3、安装并启用支持TLS 1.3的浏览器扩展，如HTTPS Everywhere。
4、对敏感通信启用端到端加密工具，例如Signal用于消息、ProtonMail用于邮件。
四、禁用非必要网络接口与服务
减少暴露面是防御嗅探的第一道屏障。关闭闲置网卡、蓝牙共享、AirDrop及Bonjour服务，可消除潜在的嗅探入口点与辅助信道。
1、点击苹果菜单→“系统设置”→“网络”，右侧列表中右键点击未使用接口，选择“关闭服务”。
2、进入“蓝牙”设置，关闭“允许蓝牙发现”与“文件接收”选项。
3、打开“分享”设置，取消勾选“隔空播放”“文件共享”“远程登录”等全部项目。
4、在终端中执行sudo defaults write /Library/Preferences/com.apple.mDNSResponder.plist NoMulticastAdvertisements -bool YES，禁用Bonjour多播广告。
五、启用macOS内置网络保护机制
借助Microsoft Defender for Business提供的网络保护功能，可在操作系统内核层拦截对恶意域名的DNS解析与HTTP(S)连接请求，防止嗅探工具依赖的C2通信链路建立。
1、前往系统设置→隐私与安全性→防火墙，点击“防火墙选项”，勾选“启用隐藏模式”。
2、下载并安装Microsoft Defender for Business客户端，使用组织账户登录。
3、在Defender控制台中导航至“攻击面减少”→“网络保护”，将开关设为开启。
4、确认策略应用状态显示为“已启用”，且实时防护图标呈绿色运行中状态。
