Comment surveiller votre machine de Linux avec le netstat

Netstat est une ligne de commande extrêmement utile de Linux outil qui te permet de vérifier quel service se relie à un port sur votre machine. Il est très utile d'analyser que se passe-t-il sur votre machine quand vous êtes des revêtements ou essayer à d'empêcher une attaque là-dessus. Vous pouvez trouver l'information telle que combien le raccordement sont faits sur un port, du lequel l'IP adresse ces raccordements proviennent, et beaucoup plus. Des bateaux de Netstat avec la plupart des distributions de Linux ainsi de lui devraient déjà être installés sur le vôtre.

Lancez une borne de coquille sur votre machine et courez la commande suivante :

netstat de # - fourmi
Raccordements actifs d'Internet (serveurs et établi)
Proto Recv-Q Envoient-q l'adresse locale Adresse étrangère État
tcp 0 0 : : ffff : 192.168.1.19 : 80 : : ffff : 192.168.1.240 : 63049 TIME_WAIT
tcp 0 0 : : ffff : 192.168.0.19 : 80 : : ffff : 192.168.1.240 : 62793 TIME_WAIT
tcp 0 0 : : ffff : 192.168.1.19 : 80 : : ffff : 192.168.1.240 : 62795 TIME_WAIT

Le rendement sera très probablement très longtemps. J'ai juste donné un instantané du rendement ci-dessus. Comme vous pouvez voir dans les données ci-dessus il y a un rapport établi à partir de 192.168.1.240 au port 80 de mon serveur en utilisant le protocole de TCP et le raccordement dans un état de TIME_WAIT. La sortie a mis que vous obtenez pour votre serveur aurez des informations sur tous ports sur votre machine, le port non simplement 80.

La première chose que vous réalisez est qu'un résultat ce grand n'est pas utile trop de. Ainsi organisons-le un peu. Voici quelques tours que j'emploie pour analyser la nature des raccordements étant faits à d'à partir de mon serveur. la première chose que je est la figure dehors que les services je veulent analyser. Habituellement c'est le port 80 comme c'est le port de défaut pour que le web server coure dessus, et met en communication 3306 qui est le port de défaut pour que MySQL coure dessus. Ainsi j'emploie la question suivante pour voir que se passe-t-il sur le port 80 :

netstat de # - fourmi | grep 80

Encore j'obtiens la grande liste de raccordements, plus petite que la première, mais trop grand pour saisir toujours. Ainsi j'emploie la « carte de travail - l » commande de compter le nombre de lignes dans le rendement pour voir approximativement combien de relations j'entretiens sur mon port 80 :

netstat de # - fourmi | grep 80 | carte de travail - l
625

Et alors je fais la même chose pour MySQL :

netstat de # - fourmi | grep 3306 | carte de travail - l
61

Now, if I want to get a complete picture of what’s going on on my server in terms of the nature of connections here’s what I do:

# netstat -ant | awk ‘{print $6}’ | sort | uniq -c | sort -n

1 established)
1 Foreign
4 FIN_WAIT2
8 LISTEN
16 CLOSE_WAIT
134 ESTABLISHED
409 TIME_WAIT

This tells me how many connections of different types of state I have on my machine. I can run a similar command to see a complete picture of the state of all the connections made to my web server:

netstat -ant | grep 80 | awk ‘{print $6}’ | sort | uniq -c | sort -n

1 FIN_WAIT1
4 LISTEN
6 FIN_WAIT2
17 CLOSE_WAIT
94 ESTABLISHED
534 TIME_WAIT

You can perform a lot more complex things using Netstat along with other Linux command line tools. It can be helpful to be familiar with some tricks to get this kind of information using Netstat, particularly when you are facing an attack on your server.