تشخیص اتصالات مشکوک و مصرف شبکه با ss و nload

افزایش ناگهانی ترافیک ممکن است از دانلود، ربات، حمله یا پیکربندی اشتباه ناشی شود. ابتدا پردازش و مقصد اتصال را پیدا کنید.

پورت‌ها و اتصال‌های فعال

ss -lntup
ss -ant state established
ss -ant | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -nr | head

مصرف لحظه‌ای شبکه

apt install nload iftop -y
nload
iftop -nP

برای تشخیص درست، الگوی معمول مصرف سرور را بشناسید و نمودار چندساعته یا چندروزه داشته باشید.

اقدام پس از مشاهده رفتار مشکوک

1. IP و پورت مبدأ و مقصد را ثبت کنید.
2. پردازش مالک اتصال را با ss یا lsof پیدا کنید.
3. لاگ برنامه و وب‌سرور را بررسی کنید.
4. به‌جای مسدودسازی گسترده، قانون دقیق فایروال بسازید.