Làm thế nào bạn có thể nói những gì một máy chủ thực sự làm? [đóng cửa]

Tôi đã được trao 3 hộp Linux, 1 mặt trước với apache trên đó và 2 hộp khác, theo như tôi có thể nói, đừng làm gì quá nhiều. Tất cả chạy trên Redhat.

Câu hỏi rất đơn giản: Làm thế nào tôi có thể biết máy chủ đang thực sự làm gì? Không có tài liệu có sẵn từ người sáng tạo.

Rút cáp ethernet và xem ai đang buồn.

Nghiêm túc mà nói, những cỗ máy bí ẩn như thế này tạo ra rất nhiều chi phí tinh thần cho một nhóm và thường không cung cấp giá trị kinh doanh. Nói chuyện với sếp của bạn, nếu không ai biết nó làm gì thì có lẽ không ai quan tâm nó làm gì.

Đây là một câu hỏi khá rộng cho định dạng Serverfault, nhưng đây là một khởi đầu tốt:

• Kiểm tra các quy trình đang chạy và những quy trình được lên lịch để chạy khi khởi động hệ thống.
  • Xem lại cấu hình đang chạy của từng.
  • Nhìn vào bất kỳ thư mục dữ liệu được xác định. (Có thể ai đó đã cài đặt MySQL và bật nó lên, nhưng không có cơ sở dữ liệu.)
• Kiểm tra các nhiệm vụ theo lịch trình.
• Kiểm tra các bản ghi để xem;
  • người đã đăng nhập gần đây (và hỏi họ)
  • và để có được một ý tưởng về những gì đang chạy.

Bạn đã không đề cập đến phiên bản, vì vậy tôi đã bỏ qua chi tiết cụ thể.

Có một vài điều bạn có thể làm để thử và xác định những gì đang chạy trên hệ thống của bạn.

Bạn có thể kiểm tra cổng nào mà máy chủ của bạn đang lắng nghe để có ý tưởng về những gì trên đó. Một lệnh tốt để sử dụng sẽ là:

 [root@server ~]# netstat -tulpn
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address               Foreign Address             Stat    e       PID/Program name
tcp        0      0 0.0.0.0:139                 0.0.0.0:*                   LIST    EN      1880/smbd
tcp        0      0 0.0.0.0:5666                0.0.0.0:*                   LIST    EN      1911/nrpe
tcp        0      0 0.0.0.0:22                  0.0.0.0:*                   LIST    EN      1759/sshd

Như bạn có thể thấy từ đầu ra ví dụ ở trên, nó cung cấp cho bạn phiên bản giao thức (tcp hoặc udp), địa chỉ được nghe, cổng mở và chương trình đang nghe.

Trong ví dụ rút gọn ở trên (một máy chủ), bạn có thể thấy các cổng tcp 139, 5666 và 22 đang lắng nghe. Chúng quyết định tương ứng với samba, nrpe (đại lý Nagios) và ssh và được xác nhận khi bạn kiểm tra chương trình đang nghe trên cổng đó.

Ngoài ra, bạn có thể kiểm tra danh sách các trình tiện ích được cấu hình để bắt đầu khi khởi động, để thực hiện điều đó, hãy chạy: chkconfig --list | grep "3:on"

Thí dụ:

[root@server ~]# chkconfig --list | grep "3:on"
NetworkManager  0:off   1:off   2:on    3:on    4:on    5:on    6:off
acpid           0:off   1:off   2:on    3:on    4:on    5:on    6:off
sshd            0:off   1:off   2:on    3:on    4:on    5:on    6:off
sysstat         0:off   1:on    2:on    3:on    4:on    5:on    6:off
udev-post       0:off   1:on    2:on    3:on    4:on    5:on    6:off
vncserver       0:off   1:off   2:on    3:on    4:on    5:on    6:off
webmin          0:off   1:off   2:on    3:on    4:off   5:on    6:off
x2gocleansessions       0:off   1:off   2:on    3:on    4:on    5:on    6:off
.
.
.

hoặc là :

service --status-all

Một phương pháp khác liên quan đến việc kiểm tra /etcthư mục và xem xét ngày sửa đổi. Sau khi cài đặt mới, tất cả các tệp trong thư mục này sẽ có cùng ngày / giờ. Và vì một bản cài đặt thường cài đặt rất nhiều thứ mà mọi người thường không sử dụng, nên chỉ các tệp có ngày sửa đổi sau đó phản ánh mục đích thực tế của máy chủ . Nếu đây là ext4, bạn cũng có thể trích xuất ngày sinh của các thư mục, vì vậy nhiệm vụ có thể khá dễ dàng.

Tuy nhiên, một phương pháp khác sẽ liên quan đến việc kiểm tra các .bash_historytệp để xem quản trị viên dự định làm gì. Tập tin này có thể cung cấp nhiều kiến ​​thức.

Kiểm tra các quy tắc tường lửa. Với một chút may mắn, nó được cấu hình để từ chối mặc định. Điều đó có nghĩa là có một quy tắc rõ ràng cho mỗi dịch vụ được phép.

Điều này tốt hơn sau đó netstatbởi vì nó cũng có thể hiển thị các cổng được mở, ví dụ như để sao lưu hàng đêm.

Một câu trả lời tôi chưa thấy: Kiểm tra các tệp được sửa đổi gần đây nhất. Nhật ký, tệp cơ sở dữ liệu, các tệp đầu ra khác, v.v. có thể được ghi vào tĩnh mà có thể cung cấp manh mối:

find . -mtime -3 

Điều đó sẽ tìm thấy các tệp sửa đổi trong thư mục hiện tại và sâu hơn, đã thay đổi trong 3 ngày qua. Tăng số 3 lên một phỏng đoán có giáo dục cho đến khi bạn nhận được một số kết quả đầu ra mà bạn có thể điều tra.

Không phải bằng chứng ngu ngốc, vì các hộp có thể chỉ xử lý một số cuộc gọi dịch vụ web, trả lại một số dữ liệu mà không bao giờ viết bất cứ điều gì. Nhưng được thêm vào hỗn hợp tuyệt vời được đề cập ở trên, nó có thể chỉ mang lại một số manh mối.