Как узнать было ли заражение?

Question

[uskaritel]

Добрый день.
Сегодня от провайдера на почту упало письмо что с моего IP производилась подозрительная активность в "2017-04-15 18:51:44" и провайдер определил это как Botnet. Почти уверен что всё это недоразумение.
В домашней сети один сервер на centos который выполняет роль тестового стенда и поля для экспериментов(возможно я там что-то намутил) второй "сервер" это raspberry на которой бежит openVPN.
Из каких логов и как можно вытянуть информацию о событиях 2017-04-15 18:51:44 чтобы потом переслать провайдеру да и самому узнать что было?

Answer 1

[Fixid]

смотрите все файлы в /var/log/

Answer 2

[Леонид]

Узнайте у провайдера характер вредоносного трафика: хосты, порты, протоколы. По нему попробуйте определить сервис, который подвергся атаке. Копать все логи всего бесполезно. Если у вас стоит роутер с внешним IP-адресом, в первую очередь проверьте, не отвечает ли он на DNS запросы извне - наиболее часто используемая дыра.

Ну и пройдите по своему серверу nmap и отключите/закройте все лишнее.

Comments

[Adamos]

Вообще роутер, особенно если он дешевый и на заводской прошивке, стоит проверить в первую очередь. Если кто-то снаружи что-то ломал, первый кандидат - как раз роутер.

Answer 3

[st0ner]

Советую пройтись еще на поиск руткитов.
rkhunter называется