Sniffer（嗅探器）以混雜模式竊聽網段封包，隱蔽性極高。本文說明如何發現潛在嗅探、防禦資料外洩，並建立安全拓撲。
一、偵測嗅探器的間接徵兆
- 封包遺失率異常升高： Ping 測試發現丟包率明顯上升，嗅探器攔截處理封包導致延遲/遺失。
- 頻寬使用異常： 防火牆/流量分析儀顯示某主機長期佔用大量頻寬，可能正在記錄/分析流量。
- 主機進程異常：
ps -aux (Linux) 或工作管理員 (Windows) 檢查未知進程；但高手寫的 Rootkit 級嗅探器不會顯示。
- 尋找可疑檔案/雜湊模式： 掃描已知嗅探器特徵碼；自製工具較難偵測。
- 專用偵測工具： 如
AntiSniff、PromiscDetect 等，掃描網卡是否處於混雜模式。
二、防禦核心策略：加密讓竊聽失效
- SSH (Secure Shell)： 取代 Telnet/FTP/rlogin。RSA 金鑰交換 + IDEA/3DES/AES 加密資料流。連接埠 22。即使被嗅探，僅見加密亂碼。
- F-SSH / SSH-2： 軍用級加密強度，至今未被破解。部署成本較高但安全性最高。
- VPN/IPsec： 建立加密隧道，保護全通訊鏈路。
- HTTPS/TLS： 網頁、API、郵件傳輸全程加密。
三、網路拓撲安全設計：縮小信任域、限制嗅探範圍
- 同一網段僅放置互信主機： 如財務部門獨立網段，實體隔離。
- 主機 → Hub → Switch 分層： 嗅探僅限於該 Hub 下的共享段，無法跨 Switch 竊聽其他段。
- 最小化信任鏈： Web Server 信任 App Server，App Server 信任 DB Server……任一環節被攻破，影響範圍限定在該信任鏈內。
- 邊界防護不止防火牆： 入侵者可從防火牆後掃描內網服務。需假設「已被入侵」，設計縱深防禦：網段隔離、主機強化、加密通訊、稽核日誌。
結論： 嗅探器無法完全防止部署，但「全鏈路加密」+「網段微隔離」+「最小信任原則」能將竊聽價值降至最低、影響範圍控制在最小單元。