如果您的數(shù)據(jù)中心中有Linux服務(wù)器，或者將它們托管在云服務(wù)器(比如AWS、谷歌云或Azure)上，不能因?yàn)槟渴鸬牟僮飨到y(tǒng)就想當(dāng)然地認(rèn)為它們是安全的。即使Linux是市面上最安全的操作系統(tǒng)之一，它也并非盡善盡美。實(shí)際上，針對(duì)該平臺(tái)的攻擊有所增加，隨著Linux日漸普及，攻擊會(huì)愈演愈烈。

您在做什么?

如果您懷疑其中一臺(tái)服務(wù)器可能遭到了攻擊，需要加以檢查。怎么檢查?我將向您介紹幾個(gè)命令，可幫助您確定服務(wù)器是否遭到來(lái)自某個(gè)IP地址的分布式拒絕服務(wù)(DDoS)的攻擊。這種攻擊是一種協(xié)同的活動(dòng)，使用一個(gè)或多個(gè)IP地址，企圖破壞網(wǎng)站使其服務(wù)器無(wú)法訪問(wèn)。

不妨看看如何判斷您的Linux服務(wù)器是否遭到了攻擊。

您需要什么?

您唯一需要的是Linux實(shí)例和擁有sudo特權(quán)的用戶。我將在Ubuntu Server 20.04上進(jìn)行演示。

如何安裝netstat?

我們將使用netstat工具來(lái)查明當(dāng)前連接到您服務(wù)器的IP地址。想在Ubuntu上安裝netstat，您實(shí)際上需要安裝net-tools，如下所示： 

 
 
 
 

  
  
  
  
sudo apt-get install net-tools -y 
 
 
 
 

如果您使用CentOS或基于Red Hat的安裝，netstat應(yīng)該已安裝上去。

如何檢查服務(wù)器負(fù)載?

我們要做的第一件事是檢查服務(wù)器負(fù)載。為此使用的命令將返回邏輯處理器(線程)的數(shù)量。在服務(wù)器上，這個(gè)數(shù)字應(yīng)該相當(dāng)?shù)?，但這取決于您運(yùn)行的負(fù)載。您應(yīng)該確保這個(gè)數(shù)字有個(gè)基準(zhǔn)值，確保一切都OK。如果您懷疑出了情況，再次運(yùn)行線程檢查并進(jìn)行比較。

要檢查邏輯處理器的數(shù)量，執(zhí)行該命令： 

 
 
 
 

  
  
  
  
grep processor /proc/cpuinfo | wc -l 
 
 
 
 

如果該數(shù)字遠(yuǎn)高于基準(zhǔn)值，表明可能有問(wèn)題。

比如在我的Pop!_OS桌面上，我有16個(gè)線程，但是在托管Nextcloud的Ubuntu服務(wù)器上，我只有兩個(gè)線程。如果這些數(shù)字中的任何一個(gè)翻倍，表明我可能遭到了DDoS攻擊。

如何檢查網(wǎng)絡(luò)負(fù)載?

接下來(lái)檢查網(wǎng)絡(luò)負(fù)載。您可以使用許多工具來(lái)執(zhí)行此操作，不過(guò)我選擇了nload。想安裝nload，執(zhí)行以下命令： 

 
 
 
 

  
  
  
  
sudo apt-get install nload -y 
 
 
 
 

在CentOS上，該命令將是： 

 
 
 
 

  
  
  
  
sudo dnf install nload -y 
 
 
 
 

要運(yùn)行該工具，只需執(zhí)行以下命令： 

 
 
 
 

  
  
  
  
nload 
 
 
 
 

您應(yīng)該會(huì)看到一個(gè)很正常的入站和出站網(wǎng)絡(luò)負(fù)載(圖A)。

圖A. Nload顯示我的Nextcloud服務(wù)器上入站負(fù)載相當(dāng)?shù)?/p>

如果該負(fù)載大大超出您的預(yù)期，您可能遭到了攻擊。

如何查明連接到您服務(wù)器的IP地址?

接下來(lái)要做的是查明連接到您服務(wù)器的IP地址。為此，我們將這樣使用netstat： 

 
 
 
 

  
  
  
  
netstat -ntu|awk '{print $5}'|cut -d: -f1 -s|sort|uniq -c|sort -nk1 -r 
 
 
 
 

上述命令的輸出將列出連接到服務(wù)器的每個(gè)IP地址以及每個(gè)IP地址的實(shí)例數(shù)。如您所見(jiàn)，有兩個(gè)IP地址連接到我的服務(wù)器(圖B)。

圖B. netstat的輸出顯示了連接到我服務(wù)器的IP地址

請(qǐng)確保仔細(xì)瀏覽該列表。如果看到一個(gè)IP地址含有大量實(shí)例(超過(guò)100個(gè))，這個(gè)地址是罪魁禍?zhǔn)椎目赡苄院艽蟆Ｒ坏┐_定了罪魁禍?zhǔn)?，您可以使用以下命令禁止這個(gè)IP地址： 

 
 
 
 

  
  
  
  
sudo route add ADDRESS reject 
 
 
 
 

其中ADDRESS是可疑對(duì)象的IP地址。

這時(shí)，返回并重新檢查線程、連接的IP地址和網(wǎng)絡(luò)負(fù)載，看看是否已緩解了DDoS攻擊。如果成功緩解，就要報(bào)告這個(gè)可疑的IP地址，可能還要完全禁止該地址訪問(wèn)您的網(wǎng)絡(luò)。

新聞標(biāo)題：如何快速查看您的Linux服務(wù)器是否遭到來(lái)自某個(gè)IP地址的DDoS攻擊？
網(wǎng)站地址：http://uogjgqi.cn/article/dhdhegi.html