Как определить источник атаки с сервера?

Question

[Иван Иванов]

Сегодня hetzner прислал такое:

Dear Mr,

We have indications that there was an attack from your server.
Please take all necessary measures to avoid this in the future and to solve the issue.

We also request that you send a short response to us. This response should contain information about how this could have happened and what you intend to do about it.
In the event that the following steps are not completed successfully, your server can be blocked at any time after the 2018-04-07 17:28:12 +0200.

How to proceed:
- Solve the issue
- Test if the issue still exists by using the following link: ...
- After successfully testing that the issue is resolved, send us a statement by using the following link: ...

Important note:
When replying to us, please leave the abuse ID [AbuseID] unchanged in the subject line. Manual replies will only be handled in the event of a lock down. Should you have any questions relating to this, please contact our support staff at [e-mail].
Please note that we do not provide telephone support in our department.
If you have any questions, please send them to us by responding to this email.

Kind regards

Network department

Hetzner Online GmbH
Industriestr. 25
91710 Gunzenhausen / Germany
Tel: [phone]
Fax: [phone]
[e-mail]
www.hetzner.com

Register Court: Registergericht Ansbach, HRB 6089
CEO: Martin Hetzner

On 07 Apr 13:27, [e-mail] wrote:
> Direction OUT
> Internal ...
> Threshold Flows 200 flows/s
> Sum 65.272 flows/300s (217 flows/s), 154.730.000 packets/300s (515.766 packets/s), 6,922 GByte/300s (189 MBit/s)
> External 111.231.132.129, 22.545 flows/300s (75 flows/s), 60.742.000 packets/300s (202.473 packets/s), 2,715 GByte/300s (74 MBit/s)
> External 183.131.222.44, 16.264 flows/300s (54 flows/s), 36.588.000 packets/300s (121.960 packets/s), 1,636 GByte/300s (44 MBit/s)
> External 111.230.105.177, 16.062 flows/300s (53 flows/s), 36.220.000 packets/300s (120.733 packets/s), 1,619 GByte/300s (44 MBit/s)
> External 60.191.186.90, 1.816 flows/300s (6 flows/s), 3.688.000 packets/300s (12.293 packets/s), 0,165 GByte/300s (4 MBit/s)
> External 60.191.186.95, 1.773 flows/300s (5 flows/s), 3.616.000 packets/300s (12.053 packets/s), 0,162 GByte/300s (4 MBit/s)
> External 60.191.186.91, 1.761 flows/300s (5 flows/s), 3.582.000 packets/300s (11.940 packets/s), 0,160 GByte/300s (4 MBit/s)
> External 60.191.186.96, 1.748 flows/300s (5 flows/s), 3.562.000 packets/300s (11.873 packets/s), 0,159 GByte/300s (4 MBit/s)
> External 60.191.186.3, 1.683 flows/300s (5 flows/s), 3.430.000 packets/300s (11.433 packets/s), 0,153 GByte/300s (4 MBit/s)
> External 60.191.186.2, 1.618 flows/300s (5 flows/s), 3.298.000 packets/300s (10.993 packets/s), 0,147 GByte/300s (4 MBit/s)
> External 188.244.209.65, 1 flows/300s (0 flows/s), 2.000 packets/300s (6 packets/s), 0,003 GByte/300s (0 MBit/s)
> External 37.9.113.143, 1 flows/300s (0 flows/s), 2.000 packets/300s (6 packets/s), 0,003 GByte/300s (0 MBit/s)
>

Можно ли как-то определить, продолжается ли атака сейчас, какие средства мониторинга сети лучше использовать в командной строке? ОС Debian. Спасибо.

Comments

[Иван Иванов]

Посмотрел lastn - ничего подозрительного - все входы мои. Что делать? Hetzner отключил сервер, но могу зайти на него только со своего ip, естественно iftop ничего не показывает.

[Иван Иванов]

Верно я понимаю, это ддосят какой-то сайт на сервере?

[athacker]

Верно я понимаю, это ддосят какой-то сайт на сервере?

Нет, судя по их письму: "there was an attack from your server." Т. е. с ВАШЕГО сервера.

Также судя по тому, на основании какого критерия они делают такой вывод -- это может быть и вовсе не атака, а вполне легитимный трафик. Что за сайт у вас? Файлы какие-то большие могут с сайта скачиваться?

[Иван Иванов]

Хостер намекнул на возможную причину - взлом vestacp. - Сейчас это активно обсуждается на форуме https://forum.vestacp.com/viewtopic.php?f=28&t=16555
https://forum.vestacp.com/viewtopic.php?f=10&t=165...
Так что если у вас стоит vestaCP советую ознакомиться и принять меры.

[athacker]

Роман Кистин, заблочьте исходящие TCP SYN-пакеты с сервера, до выяснение. Заодно можно также UDP исходящие закрыть, кроме 53 порта прописанных на сервере DNS-серверов и 123 портов прописанных NTP-серверов. Хотя, если там действительно PE, то это может и не помочь. Но в любом случае, лишним не будет.

Также поменять пароли всем учётка, прошерстить, у кого есть доступ к sudo, настроить отгрузку логов на другой сервер, увеличить их (логов) детализацию, особенно в весте, веб-, почтовом сервере и PHP или что у вас там.

Answer 1

[Moris Haos]

Привет,
Источники вам уже определили, вон они внешние ip-шники. А мониторить в режиме реального времени с разными фильтрами/настройками/графиками и т.п. можно многими утилитами, к примеру, iftop.

Comments

[Иван Иванов]

Это идут запросы на какие-то порты? Какие?

[Carburn]

Роман Кистин, Какая разница на какие?

[Айнур Валиев]

Роман Кистин, less /var/log/secure

[Иван Иванов]

Айнур Валиев, /var/log/secure: No such file or directory

[Айнур Валиев]

Роман Кистин, /var/log/auth.log

[Иван Иванов]

Carburn, Чтобы понять, это атака на сайт или на какую-то службу

[Иван Иванов]

Айнур Валиев, я выше написал, что last показывает только мои логины с моего ip.

[Moris Haos]

Роман Кистин, в консоли нет такого комбайна, как zabbix, nagios и им подобным. Поэтому надо использовать разные методики и процедуры для мониторинга сетевых соединений в режиме реального времени и их последующего анализа. На сервере у вас работают разные сервисы - ssh, mail, http, https и т.д. Каждый сервис имеет свой порт. Каждый сервис ведет свои логи. В зависимости от настроек логи могут вестись как на уровне всей системы, так и на уровне отдельных сервисов. Логи, к примеру, в режиме реального времени можно смотреть tail-ом. Также есть программы для формирования отчетов из этих логов, хоть за минуту, хоть за час, какой диапазон времени укажите, так и получите.

Инструментов много, как уже встроенных в ОС, так и внешних, которые можно установить. Каждый сисадмин пользуется своими, так сказать, привычными ему тулзами :-).

[Gansterito]

> какие средства мониторинга сети лучше использовать в командной строке
netstat -apn (посмотрите какие сетевые соединения установлены и какими процессами)
tcpdump -i eth0 -n 'port not 22' (вместо 22 - порт вашего SSH)
или tcpdump -i eth0 -n 'host not 123.213.132.123' (вместо 123.213.132.123 - адрес откуда вы залогинены)