Проблема с сервером (Ходит в интернет без моего ведома)

[Voland]

Проблема следующая: сервак на сабж 10.1. За день скачивает около 300-400 Мб, в час по 50 Мб с разных IP. Доступ к серваку только у рута с консоли. Пароль рута знают 2 человека, оба к этим скачкам непричастны. Где можно посмотреть - какая служба ходит в нет и что качает?

[clx]

man ps
ps wax, а далее смотреть на подозрительные службы..

[Warderer]

Поставить netacct и любую IDS (intrusion detection system) и посмотреть, кто же к вам ходит и по каким портам.

[Voland]

Посмотрел ps ax - вроде все нормально. Скажите, а есть ли в серваке служба, которая сама в нет ходит. Типа автообновления?

[NIKoVITus]

Поставить netacct и любую IDS (intrusion detection system) и посмотреть, кто же к вам ходит и по каким портам.

↑

А поподробнее про IDS можно? конкретные продукты или ссылки на исходники , документацию можете дать?

[Warderer]

Лично я использую Snort, который http://www.snort.org меня он вполне устраивает, показывая все спопытки использования в качестве открытого прокси, попытки забрасывания червей на всевозможные порты. Весьма мощная штука.

[NIKoVITus]

Насколько я понял netacct просто суммирует весь трафик для IP и хранит их в БД в виде

hour international peering direct local
in out in out in out in out
+-----+-------------------+-----------------+----------------+----------+
|08:00| 5,164,960 498,371 | 824,024 240,049 | 125,155 76,058 |260,853 0 |
+-----+-------------------+-----------------+----------------+----------+
|09:00| 8,794,618 710,045 |1,354,427 413,418| 1,488 1,033 |326,594 0 |
+-----+-------------------+-----------------+----------------+----------+
|10:00| 1,324,960 434,371 | 824,024 240,049 | 125,155 76,058 |260,853 0 |
+-----+-------------------+-----------------+----------------+----------+
|11:00| 2,164,960 128,344 | 434,323 233,144 | 231,225 67,831 |120,742 0 |
+-----+-------------------+-----------------+----------------+----------+
|12:00| 111,141 122,222 | 846,111 988,865 | 235,001 43,433 |311,143 0 |
+-----+-------------------+-----------------+----------------+----------+

А как читать статистику из БД? самому писать скрипт на PHP?
А как читать статистику по дням или неделям?

[Warderer]

Во-первых: я говорил про netacct, а не про netacct-mysql, тогда у вас все ложилось бы в текстовый файл, который изумительно разбирается банальным "grep". А если уж поставили ЭТО, что в общем-то зря, то к нему есть web-морда с названием netstat, Да и в этом случае PHP не нужен, вполне достаточно из шелла через mysql-client делать обычные SQL запросы.

[NIKoVITus]

Во-первых: я говорил про netacct, а не про netacct-mysql, тогда у вас все ложилось бы в текстовый файл, который изумительно разбирается банальным "grep". А если уж поставили ЭТО, что в общем-то зря, то к нему есть web-морда с названием netstat, Да и в этом случае PHP не нужен, вполне достаточно из шелла через mysql-client делать обычные SQL запросы.

↑

Не успел запостить - уже сам разобрался во всем вышесказанном.

NIKoVITus добавил в 15.04.2005 13:34

Кстати, версия netacct-mysql-0.73.tar.gz генерирует детальные отчеты (наподобие netacct) и содержит php-интерфейс