SYN Flood attack

[artomevsin]

Ahoj,

máme zablokovaný server kvůli tomu, že dělá DDOS na jiné servery. Jak zjistím, který proces to způsobuje? OS je Debian 8.

Díky za každý nápad

[Reklama]

[alex6bbc]

kouknout se na provoz ve wiresharku.
virtualni server, fyzicky server, ktery lze odpojit a doma prozkoumat?

[gill]

Nejsem síťař, k čemu je wireshark na serveru? Nestačilo by někam logovat

Kód: [Vybrat]

tcpdump "tcp[tcpflags] & tcp-syn != 0"?

[dahl]

Jasne ze jo. Wireshark je tcpdump. Pust tcpdump a vidis hned.

[vcunat]

Wireshark/tcpdump je skvělá věc, ale nikdy jsem si nevšiml že by ukazoval který proces provoz způsobuje.

[Reklama]

[McFly]

Kód: [Vybrat]

netstat -ntp

[Michal Schwarz]

Případně přidat logovací pravidlo zhruba ve stylu "iptables -A OUTPUT -m tcp -p tcp --syn -j LOG --log-uid ...", a tím alespoň zjistit který uživatelský účet ten provoz generuje. Nemusí to být nutně root.

Nebo ideálně přes auditd/auditctl (viz např. https://serverfault.com/questions/352259/finding-short-lived-tcp-connections-owner-process).

[gill]

Wireshark/tcpdump je skvělá věc, ale nikdy jsem si nevšiml že by ukazoval který proces provoz způsobuje.

proces dohledáte podle portu.