netstatを使用してLinuxマシンを監視する方法

このガイドでは、コマンドnetstatを使用してLinuxでインターネットとネットワーク接続を監視する方法について説明します。

Netstatは、マシンのポートに接続しているサービスを確認できる非常に便利なLinuxコマンドラインツールです。マシンへの攻撃に直面しているとき、またはマシンへの攻撃を防ごうとしているときに、マシンで何が起こっているかを分析することは非常に役立ちます。ポートで行われている接続の数、これらの接続の発信元のIPアドレスなどの情報を見つけることができます。 NetstatはLinuxのほとんどのディストリビューションに同梱されているため、すでにインストールされているはずです。

マシンでシェルターミナルを起動し、次のコマンドを実行します。

＃netstat -ant
アクティブなインターネット接続（サーバーおよび確立済み）
ProtoRecv-QSend-Qローカルアドレス外部アドレス状態
tcp0 0 ::ffff：192.168.1.19：80 ::ffff：192.168。 1.240：63049 TIME_WAIT
tcp 0 0 ::ffff：192.168.0.19：80 ::ffff：192.168.1.240：62793 TIME_WAIT
tcp 0 0 ::ffff：192.168.1.19：80 ::ffff： 192.168.1.240:62795 TIME_WAIT

出力はおそらく非常に長くなります。上記の出力のスナップショットを示しました。上記のデータからわかるように、TCPプロトコルを使用して192.168.1.240からサーバーのポート80に接続され、TIME_WAITの状態で接続されています。サーバーに対して取得する出力には、ポート80だけでなく、マシン上のすべてのポートに関する情報が含まれます。

最初に気付くのは、これほど大きな出力はあまり役に立たないということです。それでは、少し整理しましょう。サーバーからの接続の性質を分析するために使用するいくつかのトリックを次に示します。私が最初にすることは、分析したいサービスを見つけることです。通常、これはWebサーバーが実行されるデフォルトのポートであるポート80であり、MySQLが実行されるデフォルトのポートであるポート3306です。したがって、次のクエリを使用して、ポート80で何が起こっているかを確認します。

＃netstat -ant | grep 80

ここでも、接続の大きなリストが表示されます。最初のリストよりも小さいですが、それでも把握するには大きすぎます。そこで、「wc -l」コマンドを使用して出力の行数をカウントし、ポート80で接続されているおおよその数を確認します。

＃netstat -ant | grep 80 | wc -l <​​/ strong>
625