Apa yang sedang dilakukan server ini?

Saya memiliki banyak server virtual linux yang tersisa dari departemen TI sebelumnya. Mereka memiliki nama seperti 'sihir' atau 'barang'. Saya tidak yakin apa yang mereka lakukan ... atau jika saya membutuhkannya ...

Bagaimana kalian dan cewek pergi mencari tahu tujuan dari mesin ini? (Selain mematikannya dan melihat apa yang rusak)

Beberapa tempat untuk memulai:

• mendengarkan layanan ( netstat) - ini seharusnya, secara umum, memberi Anda ide yang layak tentang apa yang terjadi dengan sistem.
• /root/.bash_history (atau pengguna lain, jika mereka tidak menggunakan root) - apa pun yang terjadi di konsol, idealnya, terkait dengan tujuan sistem.
• /var/log - lihat log standar, dan cari aplikasi apa saja yang terkait.
• Paket yang diinstal - ini khusus untuk distribusi linux yang sedang mereka jalankan, tetapi jika log ada di sana, lihatlah. /var/log/dpkg.log,, /var/log/yum.logdll.

Hampir tidak ilmiah saya tahu, tetapi jika Anda mendapat izin dari manajemen Anda, saya akan mempertimbangkan untuk menghentikan VM - Anda akan mengetahui apakah mereka lebih cepat penting daripada yang Anda pikirkan, jika tetap dijeda dengan tidak ada yang mengeluh ... baik yang memberitahu Anda sesuatu yang lain.

Serius meskipun Anda dapat menghabiskan karir mencoba untuk mencari tahu mereka tanpa setiap benar-benar mengetahui semua yang mereka lakukan. Menjeda mereka mungkin tampak aneh / kejam tetapi dengan tidak adanya dokumentasi, saya yakin Anda dapat menjual ide itu kepada manajemen, sebagai yang pertama kali untuk melihat bagaimana hasilnya.

Aku terkejut melihat bahwa jawaban pertama menyarankan tidak ps -ef, jadi saya akan menambahkannya: jika Anda ingin tahu apa sistem yang dilakukan sekarang , membaca daftar proses, memberikan perhatian khusus terhadap apa akar terserah, dan apakah ada proses yang dimiliki oleh pengguna yang diberi nama mencolok (mysql, named, dll).

Saya kemudian membandingkan daftar proses saya dengan lsofrun sebagai root untuk melihat proses mana yang mendengarkan di jaringan, dan yang memegang file terbuka. Biasanya ini memberi Anda gambaran yang cukup bagus tentang proses yang sudah berjalan lama di kotak, yang umumnya merupakan fungsi utamanya.

Pengecualian penting termasuk surat - lihat syslog lokal dan mailquntuk perincian tentang apa yang sedang diproses oleh sendmail - dan layanan run-on-demand bertipe inted, yang /etc/xinetd.confmerupakan taruhan yang baik, setidaknya untuk kebanyakan Linux berbasis Redhat terbaru.

Semoga itu bisa membantu; beri tahu kami jika Anda mengalami sesuatu khususnya kami dapat membantu mengidentifikasi!

Saya akan mulai dengan melihat layanan apa yang berjalan ... Kemudian mencoba mencocokkan mereka dengan apa yang mereka hosting. JANGAN dalam keadaan apa pun matikan apa yang Anda tidak tahu itu dilakukan karena Anda bisa menghancurkan apa pun itu menjalankan jika misinya kritis (jika itu adalah rute yang ingin diambil, hentikan mereka), Anda juga harus memeriksa untuk lihat apakah ada dokumentasi.

Oh sayang, itu menyenangkan.

Apakah Anda tahu untuk apa mereka digunakan? Bisakah Anda mempersempitnya menjadi "ini digunakan untuk layanan jaringan", atau bisakah itu benar-benar menjadi apa pun?

Saya akan mengatakan penangkapan paket pada setiap server diperlukan, bersama dengan audit dari semua layanan yang berjalan. Temukan file konfigurasi untuk setiap layanan yang berjalan dan periksa kapan file terakhir diperbarui - yang akan memberi Anda petunjuk apakah ada sesuatu yang telah disesuaikan, dan jika demikian, berapa lama.

Anda juga dapat menjalankan pemindaian port pada setiap server untuk melihat port mana yang terbuka dan merespons.

Anda bisa mendapatkan petunjuk dengan menanyakan layanan jaringan yang dikenal - EG, DNS, LDAP, dll. Anda harus dapat menemukan daftar semua server DNS untuk zona tertentu dengan menggali catatan NS. Ingatlah bahwa Anda mungkin berakhir dengan daftar NS record yang lebih panjang daripada sebenarnya ada server DNS aktif, tetapi itu akan memberi Anda titik awal.

Tidak satu pun dari metode-metode ini yang pasti ditembakkan oleh mereka sendiri, tetapi jika Anda melemparkan beberapa metode audit pada kotak tertentu, peluang Anda untuk menemukan segala sesuatu yang layak ditemukan ditingkatkan.

Semoga berhasil!

Pemindaian port akan mengungkapkan layanan yang dapat diakses jaringan

Dari server secara lokal: nmap 127.0.0.1

Atau Anda dapat memberitahu nmap untuk memindai subnet / mask tertentu

Satu sudut lain adalah melihat apa yang dikonfigurasikan untuk terhubung ke server. Jika foozle.example.com dikonfigurasi dalam klien email CEO, itu mungkin server email. Klien FTP mungkin menunjuk ke suatu server web. Dll.

ps -ef untuk proses, netstat -a untuk layanan mendengarkan dan tcpdump untuk melihat lalu lintas apa yang bolak-balik adalah saran bagus. Selain itu, karena Linux, ada peluang bagus ada firewall yang berjalan - lihat aturan pengaturan untuk itu, harus memberi Anda petunjuk yang baik tentang layanan apa yang diharapkan untuk digunakan pada host ini dan host jarak jauh yang terhubung dengan host ini. . misal iptables - daftar Tentu saja, firewall apa yang ada untuk diperiksa, coba lsmod untuk mencari modul firewall dan periksa / var / log