View source for Netstat: melihat serangan dari netstat

sumber: https://www.cyberciti.biz/tips/netstat-command-tutorial-examples.html

==Tanda-tanda server di serang==

Bisa dilihat menggunakan top

 top

Misalnya

 load average: 15.08, 18.30, 20.63

Ini misalnya terlalu tinggi sekali untuk server kita yang cuma 4 core :) ..



==Identifikasi IP penyerang==

Fitur netstat dan fitur shell pipe bisa digunakan untuk menggali lebih banyak informasi tentang koneksi alamat IP tertentu. Anda dapat menemukan total koneksi yang sudah ada, koneksi penutupan, bit SYN dan FIN dan banyak lagi. Anda juga dapat menampilkan statistik ringkasan untuk setiap protokol menggunakan netstat.

Tampilkan semua sambungan Internet yang ada

 netstat -na

Tampilkan semua sambungan ke port 80, akan bermanfaat untuk melihat jika ada banyak sambungan dari satu buah IP penyerang,

 netstat -an | grep :80 | sort

Perintah berikut, bermanfaat untuk melihat banyaknya SYNC_REC yang aktif di server. angkanya harusnya sekitar <5. Jika ada mailbom / DOS attack angkanya bisa naik lumayan tinggi,

 netstat -n -p|grep SYN_REC | wc -l

Lihat daftar IP address yang terkait dengan SYNC_REC

 netstat -n -p | grep SYN_REC | sort -u

Lihat daftar unik IP yang mengirimkan SYNC_REC status

 netstat -n -p | grep SYN_REC | awk '{print $5}' | awk -F: '{print $1}'

Hitung jumlah sambungan dari setiap IP yang mencapai server

 netstat -ntu | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n

Hitung jumlah sambungan IP yang tersambung ke server menggunakan TCP atau UDP

 netstat -anp |grep 'tcp|udp' | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n

Cek sambungan yang ESTABLISHED saja, dan tampilkan jumlah dari setiap IP

 netstat -ntu | grep ESTAB | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -nr

Tampilkan IP address dan jumlah sambungan ke port 80 (HTTP)

 netstat -plan|grep :80|awk {'print $5'}|cut -d: -f 1|sort|uniq -c|sort -nk 1
 netstat -tn 2>/dev/null | grep :80 | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -nr | head

Output (misalnya):

 215 122.163.226.243
 189 114.198.236.100
 156 120.63.179.245
  38 141.0.9.20
  37 49.248.0.2
  37 153.100.131.12
 ...
 ...

Tiga (3) IP pertama cukup mencurigakan :) ...

Perintah berikut berguna untuk mengetahui apakah server anda diserang atau tidak. Anda juga bisa mencantumkan alamat IP penyerang dengan menggunakan metode ini.

 netstat -nat | awk '{print $6}' | sort | uniq -c | sort -n

Output:

      1 CLOSE_WAIT
      1 established)
      1 Foreign
      3 FIN_WAIT1
      3 LAST_ACK
     13 ESTABLISHED
     17 LISTEN
    154 FIN_WAIT2
    327 TIME_WAIT

==Menggali informasi lebih lanjut tentang alamat ip tertentu==

 netstat -nat |grep {IP-address} | awk '{print $6}' | sort | uniq -c | sort -n

      2 LAST_ACK
      2 LISTEN
      4 FIN_WAIT1
     14 ESTABLISHED
     91 TIME_WAIT
    130 FIN_WAIT2

==Server yang sibuk dapat memberikan lebih banyak informasi==

 netstat -nat |grep 202.54.1.10 | awk '{print $6}' | sort | uniq -c | sort -n

Output:

   15 CLOSE_WAIT
   37 LAST_ACK
   64 FIN_WAIT_1
   65 FIN_WAIT_2
 1251 TIME_WAIT
 3597 SYN_SENT
 5124 ESTABLISHED

==Dapatkan Daftar Semua Alamat IP Unik==

Untuk mencetak daftar semua alamat IP yang unik yang terhubung ke server, masukkan:

 netstat -nat | awk '{ print $5}' | cut -d: -f1 | sed -e '/^$/d' | uniq

Untuk mencetak total semua alamat IP yang unik, masukkan:

 netstat -nat | awk '{ print $5}' | cut -d: -f1 | sed -e '/^$/d' | uniq | wc -l

Contoh Output:

 449

==Cari tahu jika server kita dalam serangan DoS atau tidak==

Jika Anda menganggap kotak Linux Anda diserang, cetaklah daftar koneksi terbuka di server anda dan urutkan menurut alamat IP, masukkan:

 netstat -atun | awk '{print $5}' | cut -d: -f1 | sed -e '/^$/d' |sort | uniq -c | sort -n

Output:

    1 10.0.77.52
      2 10.1.11.3
      4 12.109.42.21
      6 12.191.136.3
 ...
 ...
 ...
    13 202.155.209.202
     18 208.67.222.222
     28 0.0.0.0
    233 127.0.0.1

Anda bisa memblokir semua IP penyerang menggunakan iptables atau hanya membatalkan rute mereka.

==Live View dari TCP Connection==

Anda dapat menggunakan perintah tcptrack untuk menampilkan status koneksi TCP yang dilihatnya pada antarmuka jaringan tertentu. Tcptrack memonitor keadaan mereka dan menampilkan informasi seperti alamat negara, sumber / tujuan dan penggunaan bandwidth dalam daftar yang diurutkan dan diperbarui sangat mirip dengan perintah teratas.

Instalasi

 apt-get install tcptrack

Tracking

 tcptrack -i <networkInterface>

Delete closed connection from screen

 tcptrack -i eth0 -r 10

Track port tertentu

 tcptrack -i eth1 port 22

==Statistik Ringkasan Tampilan untuk Setiap Protokol==

Cukup menggunakan netstat -s:

 netstat -s | less
 netstat -t -s | less
 netstat -u -s | less
 netstat -w -s | less
 netstat -s

Output:

 Ip:
    88354557 total packets received
    0 forwarded
    0 incoming packets discarded
    88104061 incoming packets delivered
    96037391 requests sent out
    13 outgoing packets dropped
    66 fragments dropped after timeout
    295 reassemblies required
    106 packets reassembled ok
    66 packet reassembles failed
    34 fragments failed
 Icmp:
    18108 ICMP messages received
    58 input ICMP message failed.
    ICMP input histogram:
        destination unreachable: 7173
        timeout in transit: 472
        redirects: 353
        echo requests: 10096
    28977 ICMP messages sent
    0 ICMP messages failed
    ICMP output histogram:
        destination unreachable: 18881
        echo replies: 10096
 Tcp:
    1202226 active connections openings
    2706802 passive connection openings
    7394 failed connection attempts
    47018 connection resets received
    23 connections established
    87975383 segments received
    95235730 segments send out
    681174 segments retransmited
    2044 bad segments received.
    80805 resets sent
 Udp:
    92689 packets received
    14611 packets to unknown port received.
    0 packet receive errors
    96755 packets sent
 TcpExt:
    48452 invalid SYN cookies received
    7357 resets received for embryonic SYN_RECV sockets
    43 ICMP packets dropped because they were out-of-window
    5 ICMP packets dropped because socket was locked
    2672073 TCP sockets finished time wait in fast timer
    441 time wait sockets recycled by time stamp
    368562 delayed acks sent
    430 delayed acks further delayed because of locked socket
    Quick ack mode was activated 36127 times
    32318597 packets directly queued to recvmsg prequeue.
    741479256 packets directly received from backlog
    1502338990 packets directly received from prequeue
    18343750 packets header predicted
    10220683 packets header predicted and directly queued to user
    17516622 acknowledgments not containing data received
    36549771 predicted acknowledgments
    102672 times recovered from packet loss due to fast retransmit
    Detected reordering 1596 times using reno fast retransmit
    Detected reordering 1 times using time stamp
    8 congestion windows fully recovered
    32 congestion windows partially recovered using Hoe heuristic
    19 congestion windows recovered after partial ack
    0 TCP data loss events
    39951 timeouts after reno fast retransmit
    29653 timeouts in loss state
    197005 fast retransmits
    186937 retransmits in slow start
    131433 other TCP timeouts
    TCPRenoRecoveryFail: 20217
    147 times receiver scheduled too late for direct processing
    29010 connections reset due to unexpected data
    365 connections reset due to early user close
    6979 connections aborted due to timeout

==Display Interface Table==

Menampilkan drop & transmit paket dengan netstat untuk eth0:

 netstat --interfaces eth0

Output:

 Kernel Interface table
 Iface       MTU Met    RX-OK RX-ERR RX-DRP RX-OVR    TX-OK TX-ERR TX-DRP TX-OVR Flg
 eth0       1500   0  2040929      0      0      0  3850539      0      0      0 BMRU


==Cara Menangani DOS attack==

Setelah memperoleh IP attacker $IPADDRESS, block menggunakan perintah

 route add $IPADDRESS reject
 route add $IPADDRESS gw 127.0.0.1 lo

cek

 route -n

untuk membuang $IPADDRESS dari tabel routing

 route delete $IPADDRESS

atau dengan iptables,

 iptables -A INPUT 1 -s $IPADRESS -j DROP/REJECT
 service iptables restart
 service iptables save

Sesudah routing / iptables di aktifkan, kill semua sambungan http dan restart httpd

 killall -KILL httpd
 
 service httpd start 
 /etc/init/d/apache2 restart

==Manual==

Kalau ada waktu baca-baca manual berikut,

 man netstat
 man cut
 man awk
 man sed
 man grep

==Referensi==

* https://www.cyberciti.biz/tips/netstat-command-tutorial-examples.html
* http://www.mkyong.com/linux/how-to-block-attackers-ip-with-null-route-command/