centos 7 высокий исходящий трафик 50-80 МБ/с, проблема с идентификацией процесса

Question

У меня обновленная свежая версия CentOS 7. Через день после установки я заметил огромный исходящий трафик, которого было достаточно, чтобы замедлить работу всей домашней сети и вывести из строя мой маршрутизатор Netgear n450.

iftop показывает:

192.168.0.9:45819 => 39.107.91.147:asterix
192.168.0.9:41311 => 39.107.91.147:asterix
192.168.0.9:20364 => 39.107.91.147:asterix
192.168.0.9:43557 => 39.107.91.147:asterix

Этот порт назначения asterix кажется странным. Я запустил, netstatно не увидел ничего, связанного с этим пунктом назначения, и lsof -i :asterixничего не показывает.

Я готов просто стереть все и переустановить, но мое любопытство хочет вникнуть в это. Может ли кто-нибудь просветить меня, как мне выяснить, какой процесс вызывает это, и как я могу удалить его?

Редактировать: Я также запустил Wireshark:

192.168.0.9    39.107.224.31    tcp    921    54081 ->8600 [SYN] Seq=0 Win=60246 Len=867
192.168.0.9    39.107.224.31    tcp    911    28526 ->8600 [SYN] Seq=0 Win=60596 Len=857

и это продолжается и продолжается, обратите внимание на другой IP-адрес назначения, он меняется каждый раз, когда я переподключаюсь или устанавливаю правило брандмауэра для отклонения исходящего трафика на этот адрес.

Answer 1

Я бы посоветовал установить такие инструменты, как fail2ban и OSSEC, чтобы вы могли более эффективно отслеживать подобные инциденты.

А затем с помощью netstat вы можете получить пользователя, inode и т. д. Если вы знаете порт:

# netstat -tanp -e |awk 'NR == 2 || /<port_number/'

Example
# netstat -tanp -e |awk 'NR == 2 || /8009/'
Proto Recv-Q Send-Q Local Address           Foreign Address         State       User       Inode      PID/Program name    
tcp        0      0 0.0.0.0:8009            0.0.0.0:*               LISTEN      43475      8771034    30611/java       

Answer 2

ПытатьсяNethogs, это как обычная topкоманда, но она показывает использование сети для каждого процесса.