Bu sunucu ne yapıyor?

Önceki bir BT departmanından kalan bir sürü linux sanal sunucum var. 'Büyü' veya 'eşya' gibi isimleri var. Ne yaptıklarından emin değilim ... ya da onlara ihtiyacım olursa ...

Siz ve kızlar bu makinelerin amacını nasıl bulursunuz? (onları kapatmanın ve neyin kırıldığını görmenin yanında)

Başlamak için birkaç yer:

• dinleme hizmetleri ( netstat) - bu, genel olarak konuşursak, sistemde neler olup bittiğine dair iyi bir fikir vermelidir.
• /root/.bash_history (veya root kullanmamışlarsa diğer kullanıcılarınki) - konsolda olup bitenler ideal olarak sistemin amacı ile ilgili olacaktır.
• /var/log - standart günlüklere bir göz atın ve uygulama ile ilgili her şeyi arayın.
• Yüklü paketler - bu, çalıştırdıkları linux'un dağıtımına özgüdür, ancak günlükler varsa, bir göz atın. /var/log/dpkg.log, /var/log/yum.logVb

Biliyorum neredeyse bilimsel değil ama yönetiminizden izin alırsanız VM'leri duraklatmayı düşünürdüm - düşüneceklerinizden daha hızlı olup olmadıklarını öğreneceksiniz, eğer kimse şikayet etmeden duraklatılmışsa ... başka bir şey.

Cidden, kariyerini, yaptıkları her şeyi gerçekten bilmeden anlamaya çalışarak geçirebilirsiniz. Onları duraklatmak garip / acımasız görünebilir, ancak belgelerin yokluğunda, ilk bakışta nasıl gittiğini görmek için bir kereye mahsus olarak fikri yönetebildiğinizden eminim.

Önerilen ilk cevabın olmadığını görünce şaşırdım ps -ef, bu yüzden ekleyeceğim: bir sistemin şu anda ne yaptığını bilmek istiyorsanız , süreç listesini okuyun, kökün ne olduğuna dikkat edin ve göze çarpan adlı kullanıcılara ait işlemler olup olmadığı (mysql, adlı vb.).

Daha sonra, lsofhangi işlemlerin ağda dinlediğini ve açık dosyaları tuttuğunu görmek için işlem listemizi kök olarak çalıştırmayla karşılaştırırdım . Genellikle bu, genellikle ana işlevi olan kutudaki uzun süren işlemlerin oldukça iyi bir resmini verir.

Önemli istisnalar arasında posta vardır - yerel sistem mailqgünlüğüne bakın ve sendmail tarafından neyin işlendiğiyle ilgili ayrıntılar için - ve /etc/xinetd.confen azından en son Redhat tabanlı Linux'lar için iyi bir bahis olan inted tipi isteğe bağlı çalıştırma hizmetleri .

Umarım yardımcı olur; özellikle bir şeyle karşılaşırsanız tanımlamanıza yardımcı olabiliriz!

Hangi hizmetlerin çalıştığını görerek başlıyordum ... O zaman bunları barındıranlarla eşleştirmeye çalışın. Hiçbir koşulda ne yaptığına dair hiçbir fikrinizi kapatmayın.Çünkü görevi kritik olursa (eğer ölmek üzere olan rotanız buysa, onları duraklatın) ... herhangi bir belge olup olmadığına bakın.

Ah canım, bu eğlenceli bir şey.

Ne için kullanıldıklarına dair bir fikrin var mı? "Bunlar ağ hizmetleri için kullanıldı" olarak daraltabilir misiniz, yoksa gerçekten herhangi bir şey olabilir mi?

Çalışan tüm hizmetlerin denetimi ile birlikte her sunucuda bir paket yakalamanın gerekli olduğunu söyleyebilirim. Çalışan her hizmet için yapılandırma dosyalarını bulun ve dosyaların en son ne zaman güncellendiğini kontrol edin - bu, bir şeyin özelleştirilip özelleştirilmediğine ve eğer öyleyse ne kadar süre önce olduğuna dair bir ipucu verecektir.

Hangi bağlantı noktalarının açık ve yanıt verdiğini görmek için her sunucuda bir bağlantı noktası taraması da çalıştırabilirsiniz.

Bilinen ağ hizmetlerini (EG, DNS, LDAP, vb.) Sorgulayarak ipuçları alabilirsiniz. NS kayıtlarını kazarak belirli bir bölge için tüm DNS sunucularının listesini bulabilmeniz gerekir. Gerçekte aktif DNS sunucuları olduğundan daha uzun bir NS kaydı listesiyle sonuçlanabileceğinizi unutmayın, ancak size bir başlangıç ​​noktası verecektir.

Bu yöntemlerin hiçbiri kendi başına ateşlemekten emin değildir, ancak belirli bir kutuya birden fazla denetim yöntemi atarsanız, bulmaya değer her şeyi bulma şansınız artar.

İyi şanslar!

Bağlantı noktası taraması ağa erişilebilen tüm hizmetleri açığa çıkarır

Yerel olarak sunucudan: nmap 127.0.0.1

Veya nmap'a belirli bir alt ağı / maskeyi taramasını söyleyebilirsiniz

Diğer bir açı, sunuculara bağlanmak için neyin yapılandırıldığına bakmaktır. Foozle.example.com CEO'nun e-posta istemcisinde yapılandırılmışsa, muhtemelen posta sunucusudur. FTP istemcileri muhtemelen bir tür web sunucusuna işaret eder. Vs vs.

ps -ef süreçler için, netstat -a hizmet dinleme için ve tcpdump hangi trafiğin ileri geri gittiğini görmek için harika önerilerdir. Buna ek olarak, Linux olduğundan, çalışan bir güvenlik duvarı olması için iyi bir şans var - bunun için ayarlanmış kurallara göz atın, bu ana bilgisayarda ve bu ana makinenin bağlandığı uzak ana bilgisayarlarda hangi hizmetlerin kullanılması bekleniyor iyi bir ipucu vermelidir. . Örneğin iptables --list Tabii ki, hangi güvenlik duvarının kontrol edilmesi gereken başka bir şey var, güvenlik duvarı modüllerini aramak için lsmod'u deneyin ve / var / log'a bakın