制造一个新的嗅探器

Question

如何使用Linux内核来监控新连接、新端口、连接主机的运行情况？就像我要做一个新的嗅探器。我应该监视哪些文件来了解周围的情况。

例如，如果服务器没有ssh连接，那么使用端口22连接一个新主机，我想要对这个新连接发出警报。如果主机断开连接，则将运行另一个警报。

Answer 1

有点模糊但是..。Netstat显示本地机器当前打开的连接状态，在/proc/net中有一些可以执行一些聪明的“实时”内容，或者像tcpdump这样的程序将为您提供原始的数据包日志(如果您对更具体的内容感兴趣，可以创建一个筛选器)，以及wireshark等用于数据包日志分析的工具。你的目标是什么，这可能有助于你更好地提出建议。

Answer 2

如果只是想即时查看连接了什么IP，以及哪个连接正在生成网络传输，那么您可以尝试使用iptraf。

如果您想要更多的功能，如会计、图表和远程监控，您可以尝试ntop。Ntop作为一个deamon运行，监视和管理是在localhost:3000的浏览器上进行的。