2

Один из серверов, как говорит хостинг провайдер - взломан. Сервер шлёт 2-4 Гб данных на 80 порт UDP, китайский ip. Это наш заббикс сервер и он открыт снаружи и иногда может слать какие-то данные на внешние ип других серверов, хотя преимущественно работаем через VPN. ОДНАКО не в Китай, там у нас нет ни одного сервера.

Как отследить какой из процессов проявляет сетевую активность, желательно упорядочить данные по объёму трафика и чтобы лог писался круглосуточно, с возможностью затем его прочесть. Может netstat обладает такой возможностью? Заранее благодарю!

2 ответа 2

2

Для мониторинга сети, лично я, предпочитаю использовать:

  • iftop для реал-тайм монитора. Легкий и информативный.
  • atop для логирования и анализа, при использовании модуля netatop, можно вести учет сети в разрезе процессов.
  • sysdig falco очень полезная штука для мониторинга системы в плане безопасности. Но если система скомпрометирована, то бозоговорочно доверять системным утилитам запущенным на ней не стоит: руткит может пытаться скрыть сетевую активность, да и сами утилиты могут быть патченные. В таком случае трафик лучше мониторить и анализировать на шлюзе или файерволле через который он проходит.
0

Спасибо за ответ!

Как оказалось, malware не подменил основные системные утилиты за счёт чего и удалось его обнаружить. Подозрительное подключение к 198.55.114.237:12345 Процесс инициировавший его -- /tmp/hh, в той же папке /tmp/gates.lod c PID процесса. Дальше немного погуглив нашлась статья описывающая виды такого вируса. Как он работает, как его удалить.

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.