Mencatat koneksi keluar saat terjadi

23

Apakah ada cara untuk login ke file semua koneksi keluar yang menciptakan suatu proses? Saya menyadari netstattetapi itu tampaknya lebih merupakan snapshot dari titik waktu daripada sesuatu yang berjalan dan mencatat informasi selama periode.

Saya hanya perlu IP atau nama host, port dan proses membuat koneksi.

tcp netstat Kaya
sumber
1
Nah, Anda bisa melakukan sesuatu seperti watch -n 2 netstatitu sementara itu, tapi itu bukan solusi yang tepat, bukan.
Ulrich Schwarz
1
[Utas ini] [1] harus menjawab pertanyaan Anda [1]: superuser.com/questions/34782/…
Alien Life Form
Lihat juga Cara mengetahui file mana yang saat ini ditulis oleh suatu proses untuk mengakses file
Gilles 'SO- stop being evil'

Jawaban:

15

Di Linux, Anda dapat mengatur subsistem audit untuk mencatat setiap upaya untuk membuat koneksi jaringan. Untuk informasi tentang subsistem audit, baca auditctlhalaman manual atau tutorial ini atau contoh lain di situs ini . Instal auditdpaket distribusi Anda jika perlu

auditctl -A exit,always -S connect

Log ada di /var/log/audit/audit.logsemua distribusi yang saya tahu. Anda juga dapat mencari mereka dengan ausearch.

Gilles 'SANGAT berhenti menjadi jahat'
sumber
3
Saya perlu mengidentifikasi proses mana yang membuat koneksi keluar. Ini melakukannya secara instan. Untuk menghindari membanjiri log, hapus aturan setelahnya:auditctl -d exit,always -S connect
Michael Hampton
Bagaimana cara memeriksa log?
luckydonald
@luckydonaldless /var/log/audit/audit.log
Gilles 'SO- stop being evil'
5

Jika Anda dapat menginstal kernel khusus, Anda harus melihat di SystemTap . Ada banyak contoh cara melacak aktivitas jaringan.

Lars Kotthoff
sumber
3

Di Linux, Anda dapat menggunakannya ip_conntrackuntuk mencapai hal ini. Ini adalah modul pelacakan koneksi, yang biasanya digunakan untuk memonitor koneksi untuk protokol berperilaku aneh (seperti FTP) yang dikelola oleh firewall / kotak NAT.

modprobe ip_conntrack
cat /proc/net/ip_conntrack

Anda dapat grep file pseudo untuk melihat koneksi yang dibuat, dan selanjutnya grep IP sumber untuk melihat kapan itu berasal dari kotak Anda.

Sean C.
sumber
Pertanyaannya mungkin belum tentu Linux-sentris.
Karlson
0

Saya akan melihat ke dalam menggunakan tcpdumppada antarmuka keluar melihat SYNpermintaan keluar .

Jika Anda merasa sangat suka berpetualang, Anda dapat membuat utilitas seperti: straceatau trussmelaporkan semua connectpanggilan sistem saat melacak eksekusi program tetapi ini sedikit lebih berbahaya dan memiliki kelemahan saat berurusan dengan proses multithreaded.

Karlson
sumber