Rever conexões ativas

As conexões ativas podem ser tráfego normal, bots (rastreadores de mecanismos de pesquisa) ou tráfego potencialmente malicioso (ataque de força bruta). É importante poder revisar as conexões ativas ao seu servidor e determinar se elas são legítimas ou maliciosas.

Por que devo revisar as conexões ativas?

Conexões excessivas podem causar:

• lentidão do site
• erros nas páginas
• outras tarefas no servidor são lentas (como email)

Como posso revisar as conexões ativas?

VERIFICAR CONEXÕES ATIVAS POR IP

root @ myserver [~] # netstat -ntu | awk '{print $ 5}' | cut -d: -f1 | classificar | uniq -c | sort -n 1 1.2.3.4 1 5.6.7.8 4 9.10.11.12 5 20.21.22.23 300 13.14.15.16

O exemplo acima mostra um endereço IP com muito mais conexões do que outros IPs. Isso pode ser um sinal de tráfego malicioso.

VERIFICAR LIGAÇÕES ATIVAS POR PORTA

Este exemplo mostra uma grande quantidade de conexões para a porta 25 (SMTP). Isso pode ser um sinal de um problema com o email.

root @ myserver [~] # netstat -tuna | awk -F ': + | + '' NR > 2 {imprimir $ 5} '| cut -d: -f1 | classificar | uniq -c | classificar -n 1 953 1 993 1 995 3 80 200 25

Depois de encontrar as conexões, você precisa determinar o que elas estão tentando acessar.

PROCURAR REGISTOS DE ACESSO PARA PÁGINAS SOLICITADAS

COMUNICAÇÃO root @ myserver [~] #cat / usr / local / apache / domlogs / * / * | awk '{print $ 7}' | classificar | uniq -c | sort -n | menos 30 /wp-content/uploads/2018/08/guitars.jpg 36 /wp-includes/js/jquery/jquery.js?ver=1.12.4 36 /wp-includes/js/jquery/jquery-migrate.min .js? ver = 1.4.1 46 / user-account / 56 /favicon.ico 65 / site-stuff / 89 /results.json 140 /robots.txt 169 /wp-login.php 270 / wp-admin / admin- ajax.php 441 /xmlrpc.php 448 /

As entradas para "/" seriam a página de índice de cada site e provavelmente o tráfego normal. Inscrições 10x maiores do que outras páginas (ex. /Xmlrpc.php vs guitars.jpg) podem indicar atividade suspeita.

VERIFIQUE O REGISTRO DE ERROS DO APACHE OU PHP-FPM .
Revise o registro de erros do PHP-FPM

Próximas etapas

Assim que tiver os IPs maliciosos e o que eles estão tentando acessar, você pode bloqueá-los em todo o servidor (firewall) ou por site (.htaccess)

• Bloqueie IPs maliciosos no firewall do servidor (Firewall do Windows, iptables, firewalld).
• Use o Plesk ou WHM (cphulk) para bloquear IPs maliciosos.
• Usando o WordPress? Confira os ataques comuns do WordPress .