告警及时发现嗅探的核心是监控混杂模式是否被非预期启用；需用ip link或ifconfig检查接口标志，每5分钟自动巡检并告警，同时收紧权限、审计操作、追溯进程。
新手配置混杂模式本身很简单，但“告警及时发现嗅探”的核心不是开启它，而是监控它是否被**非预期启用**。混杂模式是合法工具（如 tcpdump）的正常行为，但若无人操作却突然出现，极可能意味着主机已被入侵或恶意进程在后台抓包。重点在于建立主动发现机制。
快速确认当前哪些网卡处于混杂模式
这是所有后续动作的前提。混杂状态会明确体现在接口标志中：
- 用 ip link（推荐，现代系统通用）：
ip link show | grep -B1 'promiscuity 1'
输出中带promiscuity 1的接口即为混杂状态，-B1会同时显示接口名行，方便定位。 - 用 ifconfig（兼容旧系统）：
ifconfig | grep -A1 'PROMISC'
找到含PROMISC标志的网卡，注意排除lo（本地回环）。 - 只列出非 lo 的异常接口（适合脚本调用）：
ip -br link | awk '$1 !~ /^lo$/ && $3 ~ /PROMISC/ {print $1}'
设置每5分钟自动巡检并触发告警
人工检查不可靠，必须用定时任务自动扫描。以下脚本可直接部署：
- 新建检测脚本：
/usr/local/bin/check-promisc.sh，内容如下：
#!/bin/bash
ACTIVE_PROMISC=$(ip link show | awk '/promiscuity [1-9]/ {print $2}' | sed 's/://')
if [ -n "$ACTIVE_PROMISC" ]; then
logger -t "PROMISC-ALERT" "Unexpected promiscuous interfaces: $ACTIVE_PROMISC"
echo "$(date): ALERT — promisc mode detected on: $ACTIVE_PROMISC" | mail -s "PROMISC ALERT on $(hostname)" admin@example.com
fi- 赋予执行权限：
sudo chmod +x /usr/local/bin/check-promisc.sh - 添加到 root 的 cron：
sudo crontab -e，加入一行：*/5 * * * * /usr/local/bin/check-promisc.sh - 注意：邮件告警需提前配置本地 MTA（如 ssmtp 或 postfix），否则
mail命令无效；也可改用写入文件、调用 webhook 或发送 syslog。
限制非授权启用混杂模式的源头风险
光靠事后告警不够，还需降低被滥用的可能性：
-
收紧命令权限：普通用户不应能随意调用
ifconfig或ip link set ... promisc。
可移除 setuid 位：sudo chmod u-s /sbin/ifconfig /sbin/ip（操作前先测试是否影响 NetworkManager 或云平台 agent）。 -
审计关键操作：启用 auditd 追踪谁执行了相关命令：
sudo auditctl -a always,exit -F path=/sbin/ifconfig -F perm=xsudo auditctl -a always,exit -F path=/sbin/ip -F perm=x
事后查日志：ausearch -m execve -i | grep -i -E "(promisc|promiscuous)" -
结合进程上下文分析：发现混杂接口后，立即查是谁在用：
sudo lsof -i -P -n | grep "eth0\|ens33"或sudo ss -tulpn | grep ":[0-9]\+.*LISTEN"，重点关注非预期的抓包类进程（如未知的 python、perl 脚本）。
整个机制不依赖复杂工具，只用系统自带命令和基础服务，关键是把“谁在什么时候启用了什么”变成可观测、可追溯、可响应的动作链。
