НетСтат: Савети за откривање ДДоС напада

Нашао сам врло занимљив чланак у Линукариа о томе како открити да ли је наш Сервер нападнут ДДоС (Дистрибуирано ускраћивање услуге), Или шта је исто, Напад ускраћивања услуга.

Ова врста напада је прилично честа и може бити разлог зашто су наши сервери помало спори (мада то може представљати и проблем слоја 8) и никад не шкоди да их се упозори. Да бисте то урадили, можете користити алат нетстат, који нам омогућава да видимо мрежне везе, табеле рута, статистику интерфејса и друге серије ствари.

НетСтат примери

нетстат -на

Овај екран ће садржати све активне Интернет везе на серверу и само успостављене везе.

нетстат -ан | греп: 80 | врста

Прикажите само активне Интернет везе са сервером на порту 80, који је хттп порт, и сортирајте резултате. Корисно у откривању једне поплаве (поплава), тако да омогућава препознавање многих веза које долазе са ИП адресе.

нетстат -н -п | греп СИН_РЕЦ | вц -л

Ова наредба је корисна да би се знало колико се активних СИНЦ_РЕЦ-ова јавља на серверу. Број би требао бити прилично низак, по могућности мањи од 5. У случајевима напада ускраћивања услуге или поштанских бомби, тај број може бити прилично висок. Међутим, вредност увек зависи од система, па је висока вредност можда нормална на другом серверу.

нетстат -н -п | греп СИН_РЕЦ | сорт -у

Направите листу свих ИП адреса оних који су укључени.

нетстат -н -п | греп СИН_РЕЦ | авк '{принт $ 5}' | авк -Ф: '{принт $ 1}'

Наведите све јединствене ИП адресе чвора који шаљу статус везе СИН_РЕЦ.

нетстат -нту | авк '{принт $ 5}' | цут -д: -ф1 | сортирај | уник -ц | сорт -н

Помоћу наредбе нетстат израчунајте и пребројте број веза са сваке ИП адресе коју успоставите са сервером.

нетстат -анп | греп 'тцп | удп' | авк '{принт $ 5}' | цут -д: -ф1 | сортирај | уник -ц | сорт -н

Број ИП адреса које се повезују са сервером помоћу ТЦП или УДП протокола.

нетстат -нту | греп ЕСТАБ | авк '{принт $ 5}' | цут -д: -ф1 | сортирај | уник -ц | врста -нр

Проверите везе означене ЕСТАБЛИСХЕД уместо свих веза и прикажите везе за сваку ИП адресу.

нетстат -план | греп: 80 | авк {'принт $ 5'} | цут -д: -ф 1 | сорт | уник -ц | сорт -нк 1

Приказује и списак ИП адреса и њихов број веза које се повезују на порт 80 на серверу. Порт 80 ХТТП првенствено користи за веб захтеве.

Како ублажити ДОС напад

Једном када пронађете ИП адресу коју сервер напада, можете користити следеће наредбе да бисте блокирали њихову везу са сервером:

иптаблес -А УЛАЗ 1-с $ ИПАДРЕС -ј ПАД / ОДБИЈАЊЕ

Имајте на уму да морате заменити $ ИПАДРЕСС са ИП адресама које су пронађене помоћу нетстат-а.

Након покретања горње команде, УБИЈИТЕ све хттпд везе како бисте очистили систем и поново га покренули касније користећи следеће команде:

киллалл -КИЛЛ хттпд

услуга хттпд старт # За Ред Хат системе / етц / инит / д / апацхе2 рестарт # За Дебиан системе

izvor: Линукариа