Tinjau sambungan aktif

Sambungan aktif dapat berupa lalu lintas normal, bot (crawler mesin pencari), atau lalu lintas yang berpotensi berbahaya (serangan brute force). Penting untuk dapat meninjau sambungan aktif ke server Anda dan menentukan apakah sambungan tersebut sah atau berbahaya.

Mengapa saya harus meninjau sambungan aktif?

Sambungan yang berlebihan dapat menyebabkan:

• kelambatan situs
• kesalahan pada halaman
• tugas lain di server lambat (seperti email)

Bagaimana cara meninjau sambungan aktif?

PERIKSA KONEKSI AKTIF OLEH IP

root @ myserver [~] # netstat -ntu | awk '{print $ 5}' | potong -d: -f1 | urutkan | uniq -c | urutkan -n 1 1.2.3.4 1 5.6.7.8 4 9.10.11.12 5 20.21.22.23 300 13.14.15.16

Contoh di atas menunjukkan satu alamat IP dengan lebih banyak sambungan dibandingkan IP lainnya. Ini mungkin tanda lalu lintas berbahaya.

PERIKSA KONEKSI AKTIF MENURUT PELABUHAN

Contoh ini menunjukkan sejumlah besar sambungan ke port 25 (SMTP). Ini mungkin pertanda adanya masalah dengan email.

root @ myserver [~] # netstat -tuna | awk -F ': + | + '' NR > 2 {cetak $ 5} '| potong -d: -f1 | urutkan | uniq -c | urutkan -n 1 953 1 993 1 995 3 80200 25

Setelah Anda menemukan hubungan tersebut, Anda perlu menentukan apa yang mereka coba akses.

CARI AKSES LOG UNTUK HALAMAN YANG SERING DIMINTA

root @ myserver [~] #cat / usr / local / apache / domlogs / * / * | awk '{print $ 7}' | urutkan | uniq -c | urutkan -n | kurang 30 /wp-content/uploads/2018/08/guitars.jpg 36 /wp-includes/js/jquery/jquery.js?ver=1.12.4 36 /wp-includes/js/jquery/jquery-migrate.min .js? ver = 1.4.1 46 / user-account / 56 /favicon.ico 65 / website-stuff / 89 /results.json 140 /robots.txt 169 /wp-login.php 270 / wp-admin / admin- ajax.php 441 /xmlrpc.php 448 /

Entri untuk "/" akan menjadi halaman indeks setiap situs dan kemungkinan lalu lintas normal. Entri yang 10x lebih tinggi daripada halaman lain (mis. /Xmlrpc.php vs guitars.jpg) dapat mengindikasikan aktivitas yang mencurigakan.

PERIKSA LOG KESALAHAN APACHE ATAU PHP-FPM UNTUK KESALAHAN Tinjau log Kesalahan Apache
Tinjau log kesalahan PHP-FPM

Langkah-langkah berikutnya

Setelah Anda memiliki IP berbahaya dan apa yang mereka coba akses, Anda dapat memblokirnya di seluruh server (firewall) atau per situs (.htaccess)

• Blokir IP berbahaya di firewall server (Firewall Windows, iptables, firewalld).
• Gunakan Plesk atau WHM (cphulk) untuk memblokir IP berbahaya.
• Menggunakan WordPress? Lihat Serangan WordPress umum .