extreem veel dataverkeer

[popking]

Collegae WHT-ers,

Sinds enkele dagen zie ik het outbound verkeer enkele keren per dag gedurende een uur of twee enorm oplopen tot max 12,5 mbit. De afgelopen maanden was het gemiddelde ongeveer .7 mbit met uitschieters naar 2.

Er is dus iets vreemds aan de hand.

Ik wil graag uitzoeken waar de aanvragen vandaan komen (ip adressen) en om welke bestanden het gaat. Ik ga er daarmee dus ook vanuit dat iemand veel bestanden aan het downloaden is. Het kan natuurlijk ook zo zijn dat er is gehacked en de server nu op gezette tijden spam aan het versturen is…
maar zo zijn er natuurlijk ook nog enkele andere opties die dit probleem veroorzaken (DDOS?)

De komende dagen ga ik googlen en proberen de problemen op te lossen. Maar aangezien ik een newbie ben, wil ik hier ook de vraag stellen.

Kent iemand een aantal linux commando’s die mij op weg kunnen helpen?
Kent iemand een aantal goede programma’s die ik kan installeren om te ontdekken waar de fout is?
Tips, trucs?

(server: Suse 10.3, Apache 2.2.8, MySQL 5.0.5, PHP 5.2.5)

Peter

[KDISS]

installeer eens:
* iptraf, om realtime te monitoren
* bandwidthd/mrtg, om op de lange termijn te checken
* du --max-depth=1 -h in je root doen om te kijken of en waar dirs zitten die abnormaal groot zijn.
* top -d1, mss een proces dat te veel noise maakt en ps aux om abnormale processen te zien

[Deimos]

tcpdump op de genoemde tijdstippen draaien om te bekijken waar het verkeer vandaan komt en voornamelijk op welke poort.

[ichosting]

Wat wij hebben meegemaakt is dat er een site gehacked is en via deze lek veel illegale films, software en muziek wordt geupload om deze zo op ONZE (jouw) kosten te verspreiden.

Je zou even kunnen zoeken naar bestanden die groter zijn dan bijvoorbeeld 1 GB ofzo

[KDISS]

tcpdump op de genoemde tijdstippen draaien om te bekijken waar het verkeer vandaan komt en voornamelijk op welke poort.

idd, en ook netstat -peanut zodat je kan zien op welke sockets/poorten software zit te luisteren (die dat niet moet doen bijv.)

[popking]

Thx voor de antwoorden!
Ga er direct mee aan de slag....
p.s. hebben jullie een idee wat het zou kunnen zijn?
Is bijv. DDOS uitgesloten.. en moet je eerder denken aan.... of is dat zonder verdere info niet te zeggen?

p.s. server is overigens prima te bereiken en draait goed (ook tijdens die uitbarstingen)...

[ichosting]

Zoals gezegd vermoedelijk downloads van films of software van je server.
Is het inbound of outbound verkeer?

[deCube]

Zoals gezegd vermoedelijk downloads van films of software van je server.
Is het inbound of outbound verkeer?

In de TS staat outbound. :)

[ichosting]

Auch, touche. Niet goed gelezen, excuus ;)

[Sander-]

Waar je ook eens naar kunt kijken is of je dit kunt herleiden naar een bepaalde user op je server. Wij hebben het gehad dat een klant aan wat vrienden even een file van paar 100mb aanbood, waardoor er toch een aardige piek in het trafficpatroon kwam, aangezien die file ook opgepikt was door google. Hij had een vrij hoog datalimiet waardoor het eventjes duurde voordat wij ook de warning binnen kregen van zijn traffic.

[antenna]

Je kunt ook een shell scriptje maken dat in geval van een hogere load (gaat meestal samen) een netstat -nt |grep EST draait om te zien waar het verkeer naar toe gaat en dat wegschrijft in een logbestand dat je ook al was je niet aanwezig kunt inzien inderdaad op basis van de mrtg informatie.

Een tweede suggestie is de regels met bestanden groter dan b.v. 50Mb uit de apache logfile te halen en kijken of dat met de mrtg overeenkomt.

Succes!

[Japje]

per vhost traffic bijhouden? kijken welke er "opeens" meer gebruikt. even webalizer over die logs halen en kijken of er spikes overeenkomen met die betreffende vhost :)