Dotaz: Vynulování statistiky odeslaných/přijatých dat - co za tím stojí?

[happymaster23]

Zdravím,

čas od času se dívám na phpSysinfo a zarazila mě jedna věc - statistiky přenosů dat jsou mnohem nižší, než před časem, ale k restartu stroje nedošlo, takže muselo dojít k nějakému vynulování statistik. Takže bych se chtěl zeptat, jestli vás nenapadá co za tím stojí, popř. jaký démon se o měření dat stará, abych se mohl podívat do logu co se stalo. Distribuce CentOS 5.

BTW Normálně by mě to tak nevylekalo, ale dnes ráno jsem zaznamenal devítihodinový útok na SSH, sice je nemožné se přihlásit (v AllowUsers je jenom root a ten jede přes klíč a ještě pouze z mojí IP), nicméně mě to natolik vystrašilo - co kdyby náhodou :D.

Děkuji za odpovědi

Odpovědi

[Ash]

Myslel bych že statistiky nepočítá žádný démon, ale že se berou přímo z příslušného síťového rozhraní, a to se asi restartovalo. Tu možnost bych hledal v syslogu (třeba /var/log/messages nebo tak) podle názvu síťového rozhraní. Ale víc nepovím, o phpSysinfo aniCentOS nic nevím, je to jen obecný tip, možná špatný.

[happymaster23]

Díky za odpověď,

nic takového tam není. Napadlo, že by za to mohl moct update balíčků, který jsem provedl předtím, než jsem tuto "anomálii" objevil:

May 08 16:14:42 Updated: perl-HTML-Parser.i386 3.56-5.el5
May 08 16:14:42 Updated: epel-release.noarch 5-3

Ten epel asi ne ;), ale ten perl-HTML-Parser by v tom teoreticky prsty mít mohl, ikdyž se o něm píše "The HTML-Parser module for perl to parse and extract information from HTML documents, including the HTML::Entities, HTML::HeadParser, HTML::LinkExtor, HTML::PullParser, and HTML::TokeParser modules."

Další věcí na kterou jsem přišel je to, že v Logwatchy ze dne 7.5. (tedy z předchozího dne, kdy jsem na to přišel) chybí část výpisu ze SSHD, což se mi (pokud si dobře pamatuji) ještě nestalo, protože vždycky tam jsou minimálně nějaké neúspěšné pokusy o přihlášení a navíc ve /var/log/secure se nachází jediné dva záznamy z toho dne

May  7 10:35:57 server sshd[24116]: Did not receive identification string from UNKNOWN
May  7 10:59:58 server sshd[24151]: Did not receive identification string from 220.227.218.21

Statistiky rozhraní se odečítají z /proc/net/dev nebo je tam něco jiného?

Ještě jednou děkuji.

[happymaster23]

Díky pomoci Jima Perrina z mailinglistu CentOS jsem na celou "zradu" přišel - problém je v tom, že ten čítač dat se nuluje sám po 4GB - je to omezení 32b čísla.

[jazz]

Restart interface (pokud je myšleno down/up) statistiky nenuluje. To se děje pouze při odebrání/přidání ovladače (rmmod/modprobe,insmod) - pokud se jedná o modul, nebo při přetečení příslušného čítače.

Osobně bych to tipoval právě na přetečení jaderného čítače. Viz ipconfig a /proc/net/dev.

[prOm3TheuS]

Co se týče těch útoků, tak to jsou jenom hloupí roboti, ale věřím, že to obtěžuje. Dost často se doporučuje změna portu na nestandardní (třeba 2222). Přihlašování klíčem je dobrá věc, ale ještě bych změnil to přihlášení roota na jiného uživatele a na roota bych se přihlašoval pomocí su. Pak bych ještě v PAMu nastavil použití su pouze pro uživatele ve skupině wheel. Pak už je počítač dostatečně paranoidně zabezpečený