Dotaz: Abnormálně velký traffic

[Mirek]

Mám VPS, na něm běží několik webu. Dle ISPconfigu mají denní traffic max několik stovek mega což zhruba odpovídá návštěvnosti a jejich obsahu. Ale vnstat ukazuje abnormálně velký odchozí traffic (za včera cca 19 Giga). Procházel jsem syslog a tam jsem nic nenašel. Po čem bych se měl ještě podívat abych identifikoval o co se jedná?

Odpovědi

[GeorgeWH]

dns|ntp|... amplifier?

[Ján Dráb]

zamylel by som sa nad možnosťou, že ten stroj je hacknuty. Pozri sa, ci ti len tak nahodou nebeží v tope binárka s 10znakovým názvom(random) a či ti náhodou nepribudla nová služba ;)

[Jendа]

Co si třeba zkusit sniffnout, co tam teče? (tcpdump)

[petr_p]

Doufejte, že se nikdy nepotkáte s tazatelem z dotazu Jak se bránit proti DDOS.

Jinak pokud je ten provoz setrvalý, tak tcpdumpem na odchozím síťovém rozhraní zjistíte zdrojovou adresu odchozích packetů a tu si vyhledáte ve výstupu programu netstat nebo ss. Tam uvidíte číslo procesu, který je odesílá. A pak mocí ps nebo ještě lépe pomocí ls na /proc/PID/exe zjistíte program. Případně pomocí pstree zjistíte, jak byl spuštěn.

To vše ale v ideálním případě. Pokud útočník je zkušenější, tak se může schovávat.