配置网络接口混杂模式监控的核心目标是实时发现非预期启用的混杂状态，以识别内网横向移动、凭证嗅探或ARP欺骗等攻击前置行为，重点追踪谁在何时、以何种方式使哪张网卡进入混杂模式。
配置网络接口混杂模式监控，不是为了开启它，而是为了**实时发现非预期启用的混杂状态**——这是内网横向移动、凭证嗅探（如NTLM哈希、HTTP明文账号）或ARP欺骗的关键前置行为。真正的监控目标是：谁在什么时候、用什么方式、让哪张网卡进入了混杂模式。
一、确认当前混杂接口（基础检查）
混杂状态会在内核接口标志中明确体现，优先使用现代命令：
-
ip link 方式（推荐）：运行
ip link show | grep -B1 'promiscuity 1'，输出中带promiscuity 1的行及其上一行即为接口名 -
ifconfig 兼容方式：运行
ifconfig | grep -A1 'PROMISC'，注意过滤掉lo回环口 -
脚本友好格式：用
ip -br link | awk '$1 !~ /^lo$/ && $3 ~ /PROMISC/ {print $1}'直接输出异常物理/虚拟网卡名
二、部署每5分钟自动巡检与告警
人工检查不可靠，必须通过定时任务主动捕获异常。以下脚本可直接部署：
- 新建
/usr/local/bin/check-promisc.sh，内容为：#!/bin/bash<br>ACTION_PROMISC=$(ip link show | awk '/promiscuity [1-9]/ {print $2}' | sed 's/://')<br>if [ -n "$ACTION_PROMISC" ]; then<br> logger -t "PROMISC-ALERT" "Unexpected promiscuous interfaces: $ACTION_PROMISC"<br> echo "$(date): ALERT — promisc mode detected on: $ACTION_PROMISC" | mail -s "PROMISC ALERT on $(hostname)" admin@example.com<br>fi - 赋予执行权限：
sudo chmod +x /usr/local/bin/check-promisc.sh - 加入 root 定时任务：
sudo crontab -e，添加一行：*/5 * * * * /usr/local/bin/check-promisc.sh - 注意：邮件需提前配置本地 MTA（如 postfix 或 ssmtp），否则告警失效；也可改写入日志文件或调用 webhook
三、审计关键命令调用来源
仅轮询不够，必须追溯“谁干的”。启用 auditd 监控核心工具：
- 执行两条审计规则：
sudo auditctl -a always,exit -F path=/sbin/ip -F perm=xsudo auditctl -a always,exit -F path=/sbin/ifconfig -F perm=x - 事后查操作记录：
ausearch -m execve -i | grep -i promisc，可看到执行用户、时间、参数及进程路径 - 建议将规则持久化：把上述
auditctl命令写入/etc/audit/rules.d/promisc.rules，再运行sudo augenrules --load
四、收紧权限阻断非授权启用
从源头降低误触发和恶意利用可能：
- 移除 setuid 权限：
sudo chmod u-s /sbin/ip /sbin/ifconfig，防止普通用户绕过 sudo 直接调用 - 操作前请验证：部分旧系统依赖该机制管理网络，建议先在测试环境确认 NetworkManager 或 systemd-networkd 是否正常工作
- 补充限制：通过
sudoers明确禁止非运维组执行ip link set ... promisc类命令
这套机制不依赖抓包本身，而是聚焦于“混杂状态是否被非预期启用”这一关键安全信号。只要配置到位，就能在攻击者刚植入窃听木马、尚未完成数据外泄前，第一时间捕获异常行为。
