答案是监控非预期混杂模式以发现内网窃听：用ip link show查promiscuity字段确认真实状态，每5分钟脚本巡检并邮件告警，审计ip/ifconfig调用，限制setuid权限，结合SMB/Kerberos流量分析溯源。
当系统在无人操作时突然出现网卡混杂模式，极可能意味着主机已被入侵或恶意程序正在后台嗅探内网流量——必须立即定位异常来源并确认是否真实启用。
确认当前哪些网卡处于混杂模式
先快速筛查所有接口的真实状态，跳过不可靠的 ifconfig PROMISC 输出：执行 ip link show | grep -B1 'promiscuity [1-9]'，该命令会显示每处 promiscuity 非零值及其上一行的接口名（如 2: eth0:），【注意：state DOWN 的接口也可能显示 promiscuity 1，说明配置已写入但未 up，不能忽略】。
若需排除回环口并只看物理/虚拟网卡，运行：ip -br link | awk '$1 !~ /^lo$/ && /promiscuity [1-9]/ {print $1}'。
验证单个接口（如 eth0）最权威的方式是查内核底层标志：cat /sys/class/net/eth0/flags 2>/dev/null | xargs printf "%d\n" 0x，再手动判断 bit 8 是否置位：执行 printf "%d\n" $(( $(cat /sys/class/net/eth0/flags 2>/dev/null) & 0x100 ))，输出为 256 表示已启用，0 表示未启用。
排查混杂模式是否被非预期启用
第一步：检查最近是否有 root 权限进程调用过 ip 或 ifconfig 启用混杂模式。启用 auditd 审计后，运行：ausearch -m execve -i --start today | grep -i -E 'promisc|link.*set.*promisc'，重点看 EXECVE 记录中的 uid、auid、exe 和 cmdline 字段。
第二步：查看当前是否有 tcpdump、wireshark 或其他抓包工具正在运行：ps aux | grep -E '(tcpdump|tshark|dumpcap|ngrep)'。若发现类似 tcpdump -i eth0 -w /tmp/log.pcap 的进程，说明混杂模式是合法抓包行为，不是异常。
Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...
第三步：检查 systemd 服务或网络配置中是否存在持久化混杂设置。对 Ubuntu/Debian 系统，运行：grep -r 'promisc\|link.*set' /etc/network/interfaces* /etc/netplan/ 2>/dev/null；对 RHEL/CentOS 系统，运行：grep -r 'PROMISC\|promisc' /etc/sysconfig/network-scripts/ifcfg-* 2>/dev/null。若匹配到内容，说明混杂模式可能在每次网络重载时自动开启。
定位异常启用源头
方法一：检查定时任务中是否藏有隐蔽脚本。运行：sudo crontab -l 2>/dev/null; for user in $(cut -f1 -d: /etc/passwd); do sudo -u "$user" crontab -l 2>/dev/null | grep -A2 -B2 -i promisc; done | grep -v '^no crontab'，特别留意非 root 用户的 cron 中是否调用 ip link set promisc on。
方法二：扫描可疑的 setuid 二进制文件。普通用户不应能直接启用混杂模式，但若 /sbin/ip 或 /sbin/ifconfig 被设为 setuid root，则存在风险。执行：find /sbin/ -name 'ip' -o -name 'ifconfig' -perm -4000 -ls 2>/dev/null。若输出非空，【说明普通用户可绕过权限控制直接启用混杂模式，必须立即执行 sudo chmod u-s /sbin/ip /sbin/ifconfig】。
方法三：检查容器或 Kubernetes 环境中是否误启。在宿主机执行：ip link show | grep -A1 -E '^(veth|cni|cali|cilium)' | grep 'promiscuity [1-9]'。若发现 vethXXX 或 caliXXXX 接口 promiscuity 为 1，需进一步进入对应 Pod 执行 ip link show 对比——此时看到的混杂状态往往反映的是宿主侧 veth 的状态，而非容器自身能力。
