![需要调查为什么我们的服务器对我们的主机服务提供商进行 DDOS 攻击](https://linux22.com/image/773428/%E9%9C%80%E8%A6%81%E8%B0%83%E6%9F%A5%E4%B8%BA%E4%BB%80%E4%B9%88%E6%88%91%E4%BB%AC%E7%9A%84%E6%9C%8D%E5%8A%A1%E5%99%A8%E5%AF%B9%E6%88%91%E4%BB%AC%E7%9A%84%E4%B8%BB%E6%9C%BA%E6%9C%8D%E5%8A%A1%E6%8F%90%E4%BE%9B%E5%95%86%E8%BF%9B%E8%A1%8C%20DDOS%20%E6%94%BB%E5%87%BB.png)
大家好,希望有人能给我提供第一步,让我可以开始调查原因,以了解为什么我们的 Linux 服务器似乎攻击了托管该服务器的服务提供商。
今天我收到一封电子邮件,说我们的一台服务器作为协同 DDoS 僵尸网络的一部分,正在危害我们的一家服务提供商客户,因此他们不得不将其路由为无效路由以减轻影响,因此服务器瘫痪了,我们的所有业务几乎都瘫痪了。他们查看了这次攻击的捕获结果,根据攻击他们的不同主机数量有限,他们不认为我们的 IP 地址是被欺骗的。
这是我们的 Linux 服务器,托管与基础设施中其他内部服务器连接的许多不同服务。
我需要调查并观察可能使源网络适配器饱和的攻击。由于源设备是用于许多攻击的僵尸网络的成员,我应该看到许多其他神秘的出站流量爆发但问题是:
我们没有在这台服务器上安装任何监控,所以我无法监控从服务器发出的流量,所以问题是:
是否有可能以某种方式追踪攻击我们服务提供商客户的出站流量在 Linux 中?有什么命令可以帮助我吗?也许有日志记录?
我确实有关于最后时间戳的信息(在最左边)。源和目标 IP 地址、协议和端口。不幸的是,我不知道从哪里开始,因为这个服务器没有任何监控,而且我对 Linux 了解不多,因为我现在非常绝望,当然,一切都需要在圣诞节前完成。
如能提供任何信息,我们将不胜感激。
编辑:我使用了
journalctl
给定的时间戳,现在我可以看到,有多次尝试连接到 ssh 但均未成功,尽管为 root 用户打开了一次会话并给出了响应:
CMD ( [ -x /usr/lib/php/sessionclean ] && /usr/lib/php/sessionclean)
此后,该用户的会话将关闭。
有人知道这是什么意思吗?
答案1
一般情况下,Linux 服务器默认不记录或监控网络带宽使用情况。如果您之前没有安装监控系统,那么您就没有这些数据。
答案2
如果您当时没有记录,您将无法获得详细信息。当然,无法获得您的主机发送某些流量的证据。将来,请考虑启用监控和日志记录,例如启用通过防火墙记录新连接的功能。
备份出现问题的主机,以防万一对其进行取证。不要让此主机(副本)访问网络,也不要再让其访问互联网。它很可能已经受到威胁。
销毁并从已知良好的来源重建主机。例如安装操作系统的全新副本。从备份中恢复数据。
作为后续工作,请寻求帮助,对您可能发送恶意流量的方式进行详细的根本原因调查。成功的 ssh 登录、恶意软件的证据、安装的软件缺少安全补丁,查看托管提供商描述的流程。但是,我们无法以这种问答形式提供详细信息。