内网扫描监测 v1 tcpdump版
环境准备
1、centos7操作系统
2、配置多个ip，两种用途：
服务器添加多块网卡，可以同时监测多个网络
单网卡配置多个ip，增加被黑客扫描的几率
我这里配置了一块网卡 ens160，上面配置了四个IP地址 10.12.28.99、10.12.29.99、10.12.30.99、10.12.31.99
3、加固sshd服务，防止服务器被黑客黑掉
配置完监控后，直接关闭sshd服务。后续维护的时候，可以临时开启sshd服务，或者在服务器本地进行操作
N种方法：禁用root登录、设置强密码、强制使用密钥登录、修改sshd监听端口号，限制访问IP等
我这里使用的方法是：强制使用密钥登录+修改sshd监控端口为22774
4、关闭防火墙运行黑客扫描本机的端口；关闭除sshd以外的其他所有可以监听tcp端口的服务，防止黑客扫描成功黑掉服务器；最后执行命令检查服务器对外监听的端口只有sshd，方便我们连上来进行管理
[root@net-monitor ~]# systemctl stop firewalld.service
[root@net-monitor ~]# systemctl disable firewalld.service
[root@net-monitor ~]# systemctl stop iptables.service
[root@net-monitor ~]# systemctl disable iptables.service
[root@net-monitor ~]# systemctl stop rpcbind.service
[root@net-monitor ~]# systemctl stop rpcbind.socket
[root@net-monitor ~]# systemctl disable rpcbind.socket
[root@net-monitor ~]# systemctl disable rpcbind.service
[root@net-monitor ~]# ss -tunl | grep '^tcp' | awk '{print$5}' | grep *
*:22774
操作步骤
1、创建存放抓包文件的目录，这里在/tmp目录下创建一个专门的目录，系统会自动清理较早的文件
[root@net-monitor ~]# mkdir -p /tmp/tcpdump
2、设置开机自动抓包，tcpdump只抓到四个监控IP的tcp-syn包，每分钟在/tmp目录下保存一个文件
[root@net-monitor ~]# echo 'nohup tcpdump -i any (tcp[tcpflags] = tcp-syn) and dst host (10.12.28.99 or 10.12.29.99 or 10.12.30.99 or 10.12.31.99) -s 0 -U -G 60 -w /tmp/tcpdump/%Y_%m%d_%H%M.cap &>/dev/null &' >> /etc/rc.local
3、手工执行一下上面的命令，就不用重启系统了
[root@net-monitor ~]# nohup tcpdump -i any (tcp[tcpflags] = tcp-syn) and dst host (10.12.28.99 or 10.12.29.99 or 10.12.30.99 or 10.12.31.99) -s 0 -U -G 60 -w /tmp/tcpdump/%Y_%m%d_%H%M.cap &>/dev/null &
在后台执行命令xxxx，即使退出登录也不会影响xxxx命令的运行，并且记录nohup日志
nuhop xxxx &>/dev/null &
在服务器的所有接口上抓包，不包括lo（127.0.0.1）接口
-i any
只抓tcp协议的syn包
(tcp[tcpflags] = tcp-syn)
抓取目标地址是本机四个IP地址的包
dst host (10.12.28.99 or 10.12.29.99 or 10.12.30.99 or 10.12.31.99)
抓取完成的数据包，默认只抓取68字节
-s 0
将抓到的包直接写入文件
-U
每60s生成一个文件，注意文件名要用变量，否则最多只能保存最近一分钟的数据包
-G 60
设置保存抓包文件的位置，配合 -G命令，这里使用了时间变量：/tmp/tcpdump/2021_0201_1745.cap
-w /tmp/tcpdump/%Y_%m%d_%H%M.cap
4、为rc.local文件添加执行权限
[root@net-monitor ~]# chmod +x /etc/rc.d/rc.local
5、创建脚本目录，存放分析扫描的脚本文件
[root@net-monitor ~]# mkdir -p /opt/shells
6、编辑脚本文件 /opt/shells/net-monitor.sh
#!/bin/bash
# 设置IP白名单，多个IP使用 | 隔开
WHITE_LIST='10.12.28.253|172.22.140.44'
# 设置报警阈值
WARN_NUM=4
# 计划任务每分钟自动读取两分钟前的那个抓包文件，分析异常IP，触发阈值自动邮件报警，并提供证据
/usr/sbin/tcpdump
-r /tmp/tcpdump/$(date -d '2 mins ago' "+%Y_%m%d_%H%M").cap
-nn
2>/dev/null
| grep -Ev "$WHITE_LIST"
| awk '{print $3}'
| awk -F . '{print $1"."$2"."$3"."$4}'
| sort -n | uniq -c | sort -nr
| while read COUNT IP
do
if [ $COUNT -ge $WARN_NUM ]
then
/usr/sbin/tcpdump
-r /tmp/tcpdump/$(date -d '2 mins ago' "+%Y_%m%d_%H%M").cap
-nn
2>/dev/null
| grep $IP
| head -10
| mail -r net-monitor@mail.com
-s "异常IP: $IP 一分钟内扫描监控服务器 $COUNT 次"
-a /tmp/tcpdump/$(date -d '2 mins ago' "+%Y_%m%d_%H%M").cap
-c CC@mail.com
network-manager@mail.com
else
exit
fi
done
因为 后面加 #注释 会影响脚本运行，所以单独写了一份注释版的
#!/bin/bash
# 设置IP白名单，多个IP使用 | 隔开
WHITE_LIST='10.12.28.253|172.22.140.44'
# 设置报警阈值
WARN_NUM=4
# 计划任务每分钟自动读取两分钟前的那个抓包文件，分析异常IP，触发阈值自动邮件报警，并提供证据
/usr/sbin/tcpdump # tcpdump命令的绝对位置，使用相对路径计划任务会找不到该命令
-r /tmp/tcpdump/$(date -d '2 mins ago' "+%Y_%m%d_%H%M").cap # 分析两分钟前的那个抓包文件，上一分钟的不行，原因留个悬念
-nn # 直接显示IP和端口号
2>/dev/null # 不打印错误信息
| grep -Ev "$WHITE_LIST" # 过滤白名单中的IP
| awk '{print $3}' # 取源IP
| awk -F . '{print $1"."$2"."$3"."$4}' # 去掉源端口，方便后面去重统计次数
| sort -n | uniq -c | sort -nr # IP去重后，按出现次数降序排列，第一列是出现次数，第二列是IP地址
| while read COUNT IP # while循环读取每个IP及出现次数
do
if [ $COUNT -ge $WARN_NUM ] # 如果IP出现次数大于等于报警阈值，进行邮件报警
then
/usr/sbin/tcpdump # 重新分析两分钟前的那个抓包文件
-r /tmp/tcpdump/$(date -d '2 mins ago' "+%Y_%m%d_%H%M").cap
-nn
2>/dev/null
| grep $IP # 只看该异常IP的信息
| head -10 # 节选前10行证据，放到邮件正文
| mail -r net-monitor@mail.com # 设置邮件的发件人
-s "异常IP: $IP 一分钟内扫描监控服务器 $COUNT 次" # 设置邮件主题
-a /tmp/tcpdump/$(date -d '2 mins ago' "+%Y_%m%d_%H%M").cap # 将本次分析的抓包文件，作为完成的证据添加到邮件的附件中
-c CC@mail.com # 设置抄送邮箱
network-manager@mail.com # 设置主送邮箱
else
exit # 如果IP出现的次数小于报警阈值，直接退出脚本，不在对后面出现次数更少的IP进行处理
fi
done
7、添加计划任务，每分钟执行一次脚本
[root@net-monitor ~]# crontab -e
* * * * * sh /opt/shells/net-monitor.sh
8、完成后的效果，如图
9、附1：实时抓包命令
[root@net-monitor ~]# tcpdump -i any (tcp[tcpflags] = tcp-syn) and dst host (10.12.28.99 or 10.12.29.99 or 10.12.30.99 or 10.12.31.99) -nn
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on any, link-type LINUX_SLL (Linux cooked), capture size 262144 bytes
23:29:39.150287 IP 10.12.28.8.46905 > 10.12.28.99.22: Flags [S], seq 1789993435, win 14600, options [mss 1460,sackOK,TS val 4251068229 ecr 0,nop,wscale 7], length 0
10、附2：手工分析历史抓包文件
[root@net-monitor ~]# for i in `ls /tmp/tcpdump/*.cap` ; do echo "------ $i -----" ; tcpdump -r $i -nn 2>/dev/null| awk '{print $3}' | awk -F . '{print $1"."$2"."$3"."$4}' | sort -n | uniq -c | sort -n ; done
------ /tmp/tcpdump/2021_0201_2212.cap -----
------ /tmp/tcpdump/2021_0201_2218.cap -----
1 10.12.28.253
------ /tmp/tcpdump/2021_0201_2219.cap -----
1 10.12.28.253
------ /tmp/tcpdump/2021_0201_2220.cap -----
1 10.12.28.253
------ /tmp/tcpdump/2021_0201_2241.cap -----
19 10.12.28.8
------ /tmp/tcpdump/2021_0201_2329.cap -----
1 10.12.28.8