防止未授权嗅探的核心是分层防御：物理/链路层通过端口安全（如限制mac数量、启用dai）阻断非法接入，网络层强制https/mtls/ssl加密传输，应用层最小化敏感暴露，并辅以终端权限管控与抓包行为审计。
防止未授权嗅探，核心不是“堵住所有耳朵”，而是让攻击者即使听到也听不懂、拿不走、连不上。关键在分层防御：物理/链路层阻断非法接入，网络层加密传输内容，应用层最小化敏感暴露。
一、从交换机端口开始加固（防MAC泛洪与ARP欺骗）
大多数局域网嗅探依赖于交换机被诱骗进入广播模式。攻击者常通过伪造大量MAC地址填满CAM表，迫使交换机向所有端口泛洪流量。
- 登录交换机CLI或Web管理界面，对每个接入终端的端口启用端口安全：
switchport port-security - 限制每端口学习的MAC数量，单设备场景设为1：
switchport port-security maximum 1 - 违规动作设为
restrict（丢包+告警），避免shutdown引发业务中断 - 同步启用动态ARP检测（DAI），验证ARP响应报文的IP-MAC绑定合法性
二、强制加密通信，让明文无处可抓
即使流量被截获，没有密钥就无法解密——这是最根本的隐私保护手段。
- HTTP服务必须升级为HTTPS，TLS版本不低于1.2，优先采用TLS 1.3 + AES-256-GCM
- 内部微服务间通信启用mTLS（双向证书认证），禁用纯HTTP或未校验证书的调用
- 数据库连接强制SSL/TLS，禁用明文传输的MySQL协议或PostgreSQL非SSL连接
- 邮件协议使用IMAPS/SMTPS/POP3S，禁用PLAIN或LOGIN等明文认证机制
三、终端与操作系统级防护（防本地嗅探与提权捕获）
攻击者若已入侵终端，可能直接运行Wireshark或tcpdump。需限制其能力边界。
- Linux系统中，移除普通用户对
/dev/net/tun和/dev/bpf的读写权限，仅保留给network-admin组 - macOS启用“网络保护”机制（系统设置→隐私与安全性→网络保护），阻止可疑域名连接
- Windows终端部署Microsoft Defender for Endpoint，开启网络保护（Blocking mode），拦截恶意出站请求
- 禁用非必要网络接口（如未使用的蓝牙、Wi-Fi直连、虚拟网卡），减少攻击面
四、抓包行为本身也要受控（防工具滥用与数据泄露）
合法抓包若操作不当，反而成为新的泄露源。
- 使用BPF过滤器精准捕获，避免保存全量流量（例如：
host 10.1.2.3 and port 443） - Wireshark分析时启用“忽略加密流量”选项，避免误存TLS密钥日志文件
- pcap文件禁止上传GitHub、论坛或云盘；确需协作时，先用
tshark -r input.pcap -w output.pcap -o "gui.column.format:..."脱敏并裁剪 - 定期清理临时抓包文件，配置自动删除策略（如7天过期）
