Sehr hohes Netzwerk in ec2-Instanz

8

Ich habe vor zwei Tagen eine Ubuntu-14.04-64-Bit-Instanz in Amazon EC2 gestartet. In diesem Fall habe ich Tomcat 7.0.54 gestartet und meine Application War-Dateien bereitgestellt. Es ist keine andere Software als Tomcat und die Standard-Software installiert. In den letzten 2 Tagen wurden 858 GB Datenübertragung (Network Out) von dieser Instanz angezeigt. Ich habe ein Diagramm der Amazon CloudWatch-Metrik "Network Out" angehängt.

Geben Sie hier die Bildbeschreibung ein

Meine Anwendung lädt / lädt keine Daten herunter. Es ist eine Java Spring-Anwendung und das Frontend ist in HTML & Javascript. Mein Anwendungsverkehr war in diesen 2 Tagen sehr gering (weniger als 20 Treffer).

Gibt es eine Möglichkeit herauszufinden, warum diese Datenübertragungen stattgefunden haben und welche Daten übertragen wurden? Wenn Sie in der Grafik sehen können, betrug der Netzwerkausgang 20 GB pro Minute.

Weitere Informationen: Das Netzwerk war vernachlässigbar. Die CPU-Auslastung war sehr hoch. Alles andere war niedrig

linux ubuntu networking amazon-ec2 Jatin
quelle
2
Lass mich raten. Sie führen wahrscheinlich einen Dateidownload-Server aus. Ohne es zu wissen. Das heißt, Sie wurden verwurzelt - wahrscheinlich, weil Sie nicht wirklich wissen, wie Sie einen sicheren Server einrichten. Auf jeden Fall das wahrscheinlichste Szenario angesichts des hohen Verkehrsaufkommens.
TomTom
@ TomTom Ok. Können Sie bitte mehr dazu sagen? Kurz gesagt, ich habe eine neue Instanz erstellt, Java installiert und Tomcat ausgeführt. Das ist es. Nichts anderes. Und es hat nichts heruntergeladen (Bandbreite war vernachlässigbar)
Jatin
3
Nein. Eine professionelle Einrichtung Ihres Servers ist möglicherweise eine gute Idee.
TomTom
1
Ihr Server ist höchstwahrscheinlich kompromittiert und wird für DoS- Angriffe verwendet.

Antworten:

2

Da der Datenverkehr anscheinend nicht so selten ist, versuchen Sie, die Übertragung durch eine Art Warnung zu erfassen (kann es sich um Amazon One oder ein benutzerdefiniertes Skript handeln).

Verwenden Sie dann netstat, nethogs, ps, tcpdump,etc ..., um die Verkehrsquelle zu identifizieren.

Stein
quelle
2

Das Problem war also: Das Benutzername-Passwort der Manager-Konsole von Apache Tomcatwar tomcat/tomcat.

Und jemand, den ich schätze, hatte eine Kriegsakte bereitgestellt, die zu viele Anfragen gesendet hatte. Darüber hinaus wurden sogar die Berechtigungsstufen des erweiterten Verzeichnisses in geändert webapps. Großer Sicherheitsfehler.

Jatin
quelle