Как посмотреть логи сетевой активности?

[iaks]

Всем доброго дня.

Озадачился темой безопасности.
Хочу посмотреть сетевую активность приложений и пользователей.

Как можно это сделать?
ТС не появлялся на Форуме более трех месяцев по состоянию на 30/01/2020 (последняя явка: 01/09/2019). Модератором раздела принято решение закрыть тему.
--zg_nico

[symon2014]

(Нажмите, чтобы показать/скрыть)

http://lmgtfy.com/?q=%D0%BF%D0%BE%D1%81%D0%BC%D0%BE%D1%82%D1%80%D0%B5%D1%82%D1%8C+[%D1%81%D0%B5%D1%82%D0%B5%D0%B2%D1%83%D1%8E+%D0%B0%D0%BA%D1%82%D0%B8%D0%B2%D0%BD%D0%BE%D1%81%D1%82%D1%8C+%D0%BF%D1%80%D0%B8%D0%BB%D0%BE%D0%B6%D0%B5%D0%BD%D0%B8%D0%B9+%D0%B8+%D0%BF%D0%BE%D0%BB%D1%8C%D0%B7%D0%BE%D0%B2%D0%B0%D1%82%D0%B5%D0%BB%D0%B5%D0%B9.

Здесь СТРОГО запрещено (наказание в разы увеличено сверх обычной практики):

• Оскорблять кого-либо из участников форума или принижать его личные качества, проявлять высокомерие и эксплуатировать плохое знание предмета автором вопроса (п.2.2 Правил)
• Отсылать автора "в Поиск" без указания конкретного URL, где приведен заслуживающий доверия способ решения проблемы
• Оставлять бессмысленные/нетехнические и т.п. сообщения (флейм, оффтоп и т.д.)

+20%
--HP

[Platon]

netstat. Показывает открытые сетевые порты и подключившихся к ним клиентов. Периодически полезно запускать на серверах для проверки, не протроянили ли компьютер.

Код: [Выделить]

netstat -a -l -t -nСмотрите в колонке Local Addresses. Обратите внимание и на адрес: 127.0.0.1 означает, что к открытому порту могут подсоединиться только локальные пользователи, когда как 0.0.0.0 означает, что в гости приглашается весь интернет.

Другая интересная колонка — Foreign Addresses. В ней показаны IP-адреса уже подключившихся к вашему компьютеру пользователей (и адреса тех, к кому подключились вы). В терминале можно набрать whois [ip] и посмотреть информацию об адресе. Как правило, атакующие используют сервера за границей, публичные хостинги, VPN-сервисы и т.д. Все это легко можно увидеть через whois.

Теперь возникает вопрос, а что же делать?
Как защитить свой компьютер от взлома

    Отключите все неиспользуемые сервисы.
    Для тех сервисов, которые отключить нельзя, рассмотрите возможность перевода их на работу на внутреннем сетевом интерфейсе. Например, MySQL, запущенный на 127.0.0.1 вполне безопасен, а тот же MySQL на 0.0.0.0 уже представляет потенциальную угрозу.
    Составьте правила для iptables. Политика должны быть такая: сначала запретить всё, а потом разрешить лишь то, что минимально необходимо для работы в сети.
    sshd перенесите со стандартного порта № 22 на любой другой. Параноики могут дополнительно защитить sshd с помощью knockd.
    Поставьте софт, периодически проверяющий системные файлы на модификацию.
    Шифруйте и архивируйте всю важную информацию. Не удаляйте сразу же старый архив при создании нового.

Пользователь решил продолжить мысль [time]02 Сентябрь 2015, 21:16:35[/time]:snort. Система обнаружения сетевых вторжений. Выявит и детально запротоколирует все сетевые атаки на ваш рабочий компьютер или сервер. Кто атаковал, когда, откуда, какие порты, с каким результатом и т.д.
Пользователь решил продолжить мысль [time]02 Сентябрь 2015, 21:17:44[/time]:ngrep. Поистине уникальный инструмент. Как grep, только для сетевого трафика. Можно, например, проверять, куда утекают ваши персональные данные.
Пользователь решил продолжить мысль [time]02 Сентябрь 2015, 21:18:35[/time]:iptraf. Учет сетевого трафика. Программа обязательна для тех пользователей, которые выходят в сеть через мобильные сети с помегабайтной тарификацией. iptraf показывает объемы входящего и исходящего трафика, а также среднюю скорость соединения.
Пользователь решил продолжить мысль [time]02 Сентябрь 2015, 21:20:12[/time]:tcpdump. Записывает весь трафик в универсальном формате PCAP для дальнейшего изучения. Например, можно записать трафик публичной сети Wi-Fi и дома изучить записанное с помощью Wireshark.
Пользователь решил продолжить мысль [time]02 Сентябрь 2015, 21:20:58[/time]:iftop. Мониторинг производительности сетевой подсистемы. Тормозит интернет? Проверьте для начала iftop — может банально не тянет сетевой адаптер.

[_art_]

Я бы сюда еще добавил nethogs

[Platon]

lynis --check-all -Q