Existe uma maneira fácil de configurar o registro de todas as conexões de saída para determinadas portas, por exemplo? Tentando descobrir quais programas/processos causam certas conexões de saída.
O servidor já está usando UFW e registrando essas conexões, mas não há indicação de "quem" as está causando.
lsof e ss não parecem conseguir ouvir continuamente assim?