내 Archlinux 시스템의 Gnome 시스템 모니터는 실행 중인 응용 프로그램이 없을 때에도 약 1~2 KiB/s의 지속적인 네트워크 수신 및 매우 적은 전송 사용량을 보고합니다. 내 iptables 설정은 청취를 허용하지 않으며 로컬 프로세스에 의해 설정된 연결만 허용합니다. 네트워크를 사용하는 데몬을 활성화하지 않았습니다. nethogs를 이용하여 어떤 프로세스가 네트워크를 사용하는지 알아내려고 했습니다. 이런 내용을 보고합니다.
? root (my static ip address):41764-61.134.84.44:24630 0.000 0.023 KB/sec
? root (my static ip address):2323-184.105.247.226:37393 0.000 0.018 KB/sec
? root unknown TCP 0.000 0.000 KB/sec
반품 주소는 수시로 변경됩니다. 이런 종류의 네트워크 사용은 gdm을 비활성화하여 xorg 또는 gnome 세션이 실행되지 않을 때도 발생합니다. 네트워크 사용량이 무엇인지 전혀 모릅니다. 어떤 아이디어?
답변1
안nslookup첫 번째 주소는 중국의 시스템임을 나타냅니다.
$ nslookup 61.134.84.44 8.8.8.8
Server: 8.8.8.8
Address: 8.8.8.8#53
Non-authoritative answer:
44.84.134.61.in-addr.arpa name = 44.61.134.84.net.ts.gs.dynamic.163data.com.cn.
Authoritative answers can be found from:
$
끝에 "cn"이 있습니다.FQDN(정규화된 도메인 이름)은중국의 국가 코드. 그리고아시아태평양 네트워크 정보센터(APNIC),지역 인터넷 레지스트리(RIR)아시아의 경우 IP 주소를 표시합니다.61.134.84.44중국의 "Tsqc 인터넷 클럽"에 할당된 주소 범위에 있습니다.
다른 주소인 184.105.247.226에 대한 nslookup은 해당 주소와 연결된 FQDN이 임을 보여줍니다 scan-13h.shadowserver.org. 그만큼섀도우서버 재단맬웨어, 봇넷 활동 및 컴퓨터 사기를 수집, 추적 및 보고하는 "전문 인터넷 보안 작업자로 구성된 자원 봉사 그룹입니다. 손상된 서버, 악의적인 공격자의 존재 및 확산에 대한 인식을 제고하여 인터넷 보안을 향상시키는 것을 목표로 합니다. 악성코드." 그만큼홈페이지조직 상태에 대해:
2004년에 설립된 Shadowserver Foundation은 인터넷의 어두운 면에 대한 정보를 수집합니다. 우리는 전 세계의 자원 봉사 보안 전문가로 구성되어 있습니다. 우리의 임무는 정보화 시대에 큰 위험이 따르는 사이버 범죄를 이해하고 이를 중단하도록 돕는 것입니다.
시스템과 ShadowServer 시스템 간의 네트워크 전송을 본 이유에 대해서는 해당 조직의Portmapper 스캐닝 프로젝트 열기페이지.
중국의 다른 IP 주소는 해당 시스템이 사용자 시스템에 연결하려고 시도했을 수 있습니다. 그만큼인터넷 폭풍 센터, 이는 의 프로그램이다.SANS 기술 연구소인터넷상의 악의적 활동 수준을 모니터링하는 보고서61.134.84.44 주소의 최근 검색 활동.
인터넷에 연결되어 있는 경우, 악용할 수 있는 취약점이 있는 시스템을 찾기 위해 인터넷을 검색하는 사람들이 전 세계에 있기 때문에 전 세계의 시스템에서 시스템에 연결하려는 빈번한 시도를 예상해야 합니다. 연결 시도가 반드시 시스템이 취약하다는 것을 의미하는 것은 아니며, 누군가가 귀하의 IP 주소에서 취약성을 조사하고 있음을 의미합니다.
당신은 사용할 수 있습니다tcpdump또는와이어샤크무슨 일이 일어나고 있는지 더 잘 파악하기 위해 데이터 흐름을 캡처하고 분석합니다. 즉, 누군가가 단순히 시스템을 스캔하여 취약점을 찾고 있거나 누군가가 시스템을 손상시켰는지에 대한 정보를 얻을 수 있습니다. 이러한 도구를 효과적으로 사용하는 방법을 배우는 데 익숙하지 않은 경우 상당한 시간이 걸릴 수 있습니다.인터넷 네트워크 프로토콜, 그러나 네트워크 문제를 해결하고 네트워크 트래픽을 분석하는 데 매우 중요합니다.
업데이트:
귀하가 게시한 출력넷호그만 보여주었다네트워크 포트다른 시스템(예: 24630중국 시스템 및 37393Shadowserver 시스템)의 경우(시스템의 해당 포트는 아님) 시스템의 특정 포트에서 어떤 프로세스가 수신 대기하는지 알고 싶다면 다음을 사용할 수 있습니다.이소프명령. 예를 들어 표준 HTTP 포트에서 어떤 프로세스가 수신 대기 중인지 알고 싶은 경우잘 알려진 항구80, 다음 명령을 실행할 수 있습니다 lsof -i TCP:80(TCP다른 네트워크 프로토콜이 사용하는 동안 HTTP용 프로토콜입니다.UDP) 또는 다음을 사용할 수도 있습니다.netstat명령 netstat -nlp | grep :80. 루트 계정에서 명령을 실행합니다. 즉, 루트로 로그인하여 명령을 실행하거나 sudo사용 중인 Linux 배포판에 따라 명령 앞에 입력합니다. 인용하다특정 포트를 사용하여 프로세스의 PID를 찾으십니까?에유닉스 및 리눅스다른 방법과 예제 출력을 보려면 이 사이트의 자매 사이트를 참조하세요.