Granska aktiva anslutningar

Aktiva anslutningar kan vara normal trafik, bots (sökmotorspindlar) eller potentiellt skadlig trafik (brute force attack). Det är viktigt att kunna granska aktiva anslutningar till din server och avgöra om de är legitima eller skadliga.

Varför ska jag granska aktiva anslutningar?

För stora anslutningar kan orsaka:

• webbplatsens långsamhet
• fel på sidorna
• andra uppgifter på servern är långsamma (som e-post)

Hur granskar jag aktiva anslutningar?

KONTROLLERA AKTIVA ANSLUTNINGAR PÅ IP

root @ myserver [~] # netstat -ntu | awk '{print $ 5}' | klipp ut -d: -f1 | sortera | uniq -c | sortera -n 1 1.2.3.4 1 5.6.7.8 4 9.10.11.12 5 20.21.22.23 300 13.14.15.16

Exemplet ovan visar en IP-adress med många fler anslutningar än andra IP-adresser. Detta kan vara ett tecken på skadlig trafik.

KONTROLLERA AKTIVA ANSLUTNINGAR PER PORT

Det här exemplet visar en stor mängd anslutningar till port 25 (SMTP). Detta kan vara ett tecken på ett problem med e-post.

root @ myserver [~] # netstat -tuna | awk -F ': + | + '' NR > 2 {skriv ut $ 5} '| klipp ut -d: -f1 | sortera | uniq -c | sortera -n 1953 1 993 1 995 3 80 200 25

När du har hittat anslutningarna måste du avgöra vad de försöker komma åt.

SÖK TILLGÅNGSLOGGAR FÖR SÄKERHETSSIDAN

root @ myserver [~] #cat / usr / local / apache / domlogs / * / * | awk '{print $ 7}' | sortera | uniq -c | sortera -n | mindre 30 /wp-content/uploads/2018/08/guitars.jpg 36 /wp-includes/js/jquery/jquery.js?ver=1.12.4 36 /wp-includes/js/jquery/jquery-migrate.min .js? ver = 1.4.1 46 / user-account / 56 /favicon.ico 65 / website-stuff / 89 /results.json 140 /robots.txt 169 /wp-login.php 270 / wp-admin / admin- ajax.php 441 /xmlrpc.php 448 /

Poster för "/" är indexsidan för varje webbplats och sannolikt normal trafik. Poster som är 10 gånger högre än andra sidor (t.ex. /xmlrpc.php vs guitars.jpg) kan indikera misstänkt aktivitet.

KONTROLLERA APACHE ELLER PHP-FPM FELLOGG FÖR FEL Gå igenom Apache-felloggen
Granska PHP-FPM-felloggen

Nästa steg

När du har de skadliga IP-adresserna och vad de försöker komma åt kan du blockera dem serverövergripande (brandvägg) eller per webbplats (.htaccess)

• Blockera skadliga IP-adresser i serverns brandvägg (Windows-brandvägg, iptables, firewalld).
• Använd Plesk eller WHM (cphulk) för att blockera skadliga IP-adresser.
• Använder du WordPress? Kolla in vanliga WordPress-attacker .