Làm thế nào để tìm thấy những gì tối đa hóa quá trình nhập cảnh của tôi?

Trang web của tôi đã bị sập do số lượng Quá trình nhập tối đa bị tấn công. Đây là một ảnh chụp màn hình từ cPanel:

Nhìn vào Chi tiết sử dụng tài nguyên, tôi thấy tối đa I / O và Entry Processes cũng như sự gia tăng lớn về mức độ sử dụng CPU và bộ nhớ:

Tuy nhiên, tôi đã kiểm tra nhật ký truy cập của mình và tôi không có nhiều lưu lượng truy cập web xảy ra khi điều này xảy ra, vì vậy tôi nghĩ rằng đó là một kịch bản thuộc loại nào đó khiến điều này xảy ra, rất có thể là một plugin WordPress. Có cách nào (Trong WHM / cPanel) để tìm ra tập lệnh nào đang thực sự chạy và gây ra điều này không?

Lưu lượng truy cập web

Kiểm tra nhật ký web để xem trang nào đang được yêu cầu. Nếu họ đang truy cập một trang có trình cắm xấu thì trang đó sẽ hiển thị cho bạn URI Trang / Yêu cầu mà người dùng nhấn. Một số thứ như tập lệnh thay đổi kích thước tải lên hình ảnh có thể ăn tài nguyên một cách nhanh chóng.

Nếu bạn nhận được nhiều lưu lượng truy cập cho máy chủ web thì đó có thể là ai đó khai thác máy chủ bằng botnet hoặc một cái gì đó có tính chất đó.

Lưu lượng truy cập web xấu

Nếu bạn dường như không thể xác định trang nào trên trang web, hãy thử sử dụng công cụ như Google Webmaster để xem họ có thể truy cập trang đó không và trang nào họ đang xem. Họ có thể có một trang được lập chỉ mục rằng ai đó đang sử dụng để khai thác có khả năng (cửa sau). Bạn có thể tìm kiếm site:example.comvà họ sẽ liệt kê tất cả các trang được lập chỉ mục.

Bảo dưỡng định kỳ

Kiểm tra để đảm bảo rằng một cái gì đó như công việc CRON không chạy có thể khiến hộp hết tài nguyên. Một cái gì đó tarhoặc gzipnhiều nội dung đã được nén cũng có thể là thủ phạm. (ví dụ: Tôi đã có một nhà thiết kế đồ họa tải lên một iso 4gb cho một trong những máy chủ mà tôi quản lý và nó đã hạ bệ VPS trong các bản sao lưu hàng đêm.)

Nếu bạn quản lý máy chủ và có thể truy cập vào hộp bằng thiết bị đầu cuối dòng lệnh như SSH, bạn có thể chạy toptừ dòng lệnh và xem quá trình nào đang chiếm tài nguyên.

Khác

Nếu máy chủ bị tấn công DDoS hoặc một cái gì đó có tính chất đó thì nó sẽ không nhất thiết hiển thị dưới dạng lưu lượng truy cập web vì chính máy chủ vật lý sẽ xử lý các yêu cầu đó với bất kỳ cổng nào được chọn. (vd tìm kiếm.)

Nếu nó là một cái gì đó như thế này, bạn có thể thay đổi IP (có thể) hoặc cố gắng chặn các yêu cầu bằng một cái gì đó như iptables như một nỗ lực cuối cùng. Điều này thực sự nên được thực hiện tại các bộ định tuyến xa hơn đường ống mặc dù.