Как определить, что мой сервер используется как сканер портов?

Question

Как определить, что мой сервер используется как сканер портов?

Мой веб-сервер работает под управлением Ubuntu 12.04.2 LTS со всеми установленными обновлениями безопасности. Он используется в качестве веб-прокси-сервера, который обрабатывает входящие запросы по протоколу HTTP/80 HTTPS/443, но также извлекает веб-контент с других серверов, используя соединения HTTP/HTTPS. Сервер также использует соединение WebSocket HTML5 для отправки обновлений в режиме реального времени пользователям клиента.

Я получил уведомление от трех отдельных домашних пользователей о том, что мой сервер якобы выполнил сканирование портов по их ip-адресам. К сожалению, я знаю только дату и время предполагаемого сканирования портов, но не знаю IP-адрес или порт назначения. Кроме того, я не уверен, являются ли это ложными тревогами, или мой сервер был фактически взломан.

До сих пор я проводил предварительный анализ с использованием "netstat -anltp", чтобы проверить, есть ли подозрительный трафик. При проверке все вроде нормально, так как есть только HTTP-соединения. Кроме того, я выполнил "ps aux", чтобы вывести список всех запущенных процессов, но я должен признать, что в этот момент я немного растерялся.

Какие дальнейшие шаги можно выполнить для обнаружения подозрительного трафика? Какие файлы журнала должны быть проверены? Какие журналы должны быть включены для обнаружения будущего подозрительного исходящего трафика? Какие сторонние инструменты могут обнаружить дальнейшие исходящие сканирования портов?

0

ubuntu hacking port-scanning intrusion-detection intrusion-prevention

Источник

Chris2M 25 июн '13 в 10:44

1 ответ

Другие вопросы по тегам ubuntu hacking port-scanning intrusion-detection intrusion-prevention

fsoppelsa 25 июн '13 в 10:50 2013-06-25 10:50 · Answer 1 · 2013-06-25 10:50

Инструментом, который может обнаружить исходящие порты, является tcpdump. Бежать tcpdump -i eth0 -w dump и затем, с большим спокойствием, прочитайте детали дампа, соответствующие пакетам, отправленным в те даты.

Также спросите у своих пользователей их IP-адреса, если они статические.

Смотреть на /var/log/auth.log а также last -100 чтобы узнать, не злоупотребил ли кто-нибудь вашей системой, проверьте наличие подозрительных заданий cron, загляните в каталог /root, если появилось что-то странное. В этих случаях важен инструмент, который хеширует системные файлы (например, tripwire).