Есть ли способ зарегистрировать все исходящие соединения, которые создает процесс? Я знаю об этом, netstatно, похоже, это скорее снимок момента, а не то, что запускает и регистрирует информацию за период.
Мне нужен только IP или имя хоста, порт и процесс, устанавливающий соединение.
watch -n 2 netstatтого, но это не правильное решение, не так ли?Ответы:
В Linux вы можете настроить подсистему аудита для регистрации каждой попытки установить сетевое соединение. Для получения информации о подсистеме аудита, прочитать
auditctlстраницу человека или этот учебник или другие примеры на этом сайте . При необходимости установитеauditdпакет вашего дистрибутива , затемЖурналы во
/var/log/audit/audit.logвсех дистрибутивах, которые я знаю. Вы также можете искать их сausearch.источник
auditctl -d exit,always -S connectless /var/log/audit/audit.logЕсли вы можете установить собственное ядро, вам стоит взглянуть на SystemTap . Существует множество примеров того, как отслеживать сетевую активность.
источник
В Linux вы можете использовать
ip_conntrackдля этого. Это модуль отслеживания подключений, который обычно используется для мониторинга подключений по протоколам странного поведения (например, FTP), которые управляются брандмауэром / NAT.Вы можете выполнить поиск псевдофайла grep для просмотра установленных подключений, а затем выполнить поиск grep исходного IP-адреса, чтобы узнать, когда он исходит из вашего ящика.
источник
Я хотел бы посмотреть на использование
tcpdumpна исходящем интерфейсе, глядя на исходящиеSYNзапросы.Если вы действительно любите приключения, вы можете создавать такие утилиты, как:
straceилиtrussсообщать обо всехconnectсистемных вызовах, отслеживая выполнение программы, но это немного более опасно и имеет недостатки при работе с многопоточными процессами.источник