Há um aplicativo maligno que está consumindo TODA minha largura de banda de upload (eu sou brasileiro, tem apenas ~ 35kbps) por 80% das vezes que meu PC está ligado.
Gostaria de saber se há alguma maneira de rastrear esse uso e descobrir qual aplicativo está fazendo isso.
Respostas:
E os nethogs ? Na minha opinião, é muito mais humano. Lista qual comando / programa usando a rede e quanta largura de banda para cada um deles, em tempo real.
Instale-o nos sistemas ubuntu / debian com:
sudo apt-get install nethogs
Execute-o para monitorar sua interface de rede assim:
sudo nethogs eth0
iftopé um programa baseado em console / shell semelhante ao top que pode usar a biblioteca pcap (também usada pelo tcpdump e wireshark). Está disponível para Ubuntu no Universe.
sudo aptitude install iftop
sudo iftop
Ao executar uma atualização em um sistema ubuntu:
Com o netstat, você pode descobrir qual processo está conectado a uma porta ou IP específico. Para portas, é uma boa ideia prefixar dois pontos.
sudo netstat -plantu | grep "some_port_number_or_ip_address"
Por exemplo, para procurar conexões abertas para ssh:
sudo netstat -plantu | grep :22
tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN 2376/sshd
tcp 0 0 10.13.37.122:22 10.13.37.105:59130 ESTABLISHED 4033/sshd: jtimberm
tcp6 0 0 :::22 :::* LISTEN 2376/sshd
Você também pode procurar conexões de porta aberta com lsof:
sudo lsof -i:22
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
sshd 2376 root 3u IPv4 5613 0t0 TCP *:ssh (LISTEN)
sshd 2376 root 4u IPv6 5615 0t0 TCP *:ssh (LISTEN)
sshd 4033 root 3u IPv4 11608 0t0 TCP 10.13.37.122:ssh->10.13.37.105:59130 (ESTABLISHED)
sshd 4086 jtimberman 3u IPv4 11608 0t0 TCP 10.13.37.122:ssh->10.13.37.105:59130 (ESTABLISHED)
Você pode obter mais informações sobre os arquivos abertos em lsof com -p PID.
sudo lsof -p 2376
(Muita saída daquela suprimida)
Ntop é seu amigo. Os pacotes estão em repositórios linux e macports.
Além de usar o iftop para identificar o endereço e a porta que estão usando largura de banda, você pode usar o netstat para identificar o processo
sudo netstat -ntp
Isso mostrará todas as conexões TCP abertas e o nome / ID do processo anexado a cada um.
iftop, vou aceitá-lo - isso me mostrou EXATAMENTE quando e como alguém estava comendo minha largura de banda - e votá-lo porque netstateu sabia quem eu deveria matar. Obrigado!
lsof -i tcp:80para concentrar sua pesquisa em uma porta. Esta versão especial irá listar todos os processos ligados na porta TCP 80.
Na minha opinião, a interface de usuário do iftop não é bem projetada. Na prática, quase nunca é necessário visualizar os IPs ou nomes de host em tempo real. Se eu precisasse de uma lista de todas as conexões atuais, eu iria apenas com o netstat, como o jtimberman explicou.
Para meus propósitos, o bmon é mais adequado que o iftop. Possui uma interface de usuário muito simplista, com suporte para múltiplas interfaces e desenho de "gráficos". Aqui está uma captura de tela:
Se você não precisa de todos os recursos que a bmon oferece, o bwm-ng pode ser a ferramenta perfeita para você. Ele mostra apenas a largura de banda atual ocupada por interface - nem mais nem menos:
O nload é uma ótima ferramenta para monitorar a largura de banda em tempo real e é facilmente instalado no Ubuntu ou Debian com o sudo apt-get install nload.
Device eth0 [10.10.10.5] (1/2):
=====================================================================================
Incoming:
. ...|
# ####|
.. |#| ... #####. .. Curr: 2.07 MBit/s
###.### #### #######|. . ## | Avg: 1.41 MBit/s
########|#########################. ### Min: 1.12 kBit/s
........ ################################### .### Max: 4.49 MBit/s
.##########. |###################################|##### Ttl: 1.94 GByte
Outgoing:
########## ########### ###########################
########## ########### ###########################
##########. ########### .###########################
########### ########### #############################
########### ###########..#############################
############ ##########################################
############ ##########################################
############ ########################################## Curr: 63.88 MBit/s
############ ########################################## Avg: 32.04 MBit/s
############ ########################################## Min: 0.00 Bit/s
############ ########################################## Max: 93.23 MBit/s
############## ########################################## Ttl: 2.49 GByte
Outra ferramenta excelente é o iftop , também facilmente apt-get'able:
191Mb 381Mb 572Mb 763Mb 954Mb
└────────────┴──────────┴─────────────────────┴───────────┴──────────────────────
box4.local => box-2.local 91.0Mb 27.0Mb 15.1Mb
<= 1.59Mb 761kb 452kb
box4.local => box.local 560b 26.8kb 27.7kb
<= 880b 31.3kb 32.1kb
box4.local => userify.com 0b 11.4kb 8.01kb
<= 1.17kb 2.39kb 1.75kb
box4.local => b.resolvers.Level3.net 0b 58b 168b
<= 0b 83b 288b
box4.local => stackoverflow.com 0b 42b 21b
<= 0b 42b 21b
box4.local => 224.0.0.251 0b 0b 179b
<= 0b 0b 0b
224.0.0.251 => box-2.local 0b 0b 0b
<= 0b 0b 36b
224.0.0.251 => box.local 0b 0b 0b
<= 0b 0b 35b
─────────────────────────────────────────────────────────────────────────────────
TX: cum: 37.9MB peak: 91.0Mb rates: 91.0Mb 27.1Mb 15.2Mb
RX: 1.19MB 1.89Mb 1.59Mb 795kb 486kb
TOTAL: 39.1MB 92.6Mb 92.6Mb 27.9Mb 15.6Mb
Não se esqueça dos utilitários clássicos e poderosos de sar e netstat no antigo * nix!
O Wireshark também é um aplicativo (multiplataforma) muito bom para monitorar o tráfego de rede. Aqui está uma descrição do site:
O Wireshark é o principal analisador de protocolo de rede do mundo e é o padrão de fato (e geralmente de jure) em muitos setores e instituições educacionais.
Você pode fazer isso no nível do roteador, dependendo do seu firmware. Por exemplo, se você usa o DD-WRT , pode rastrear o uso ao longo do tempo e por máquina.
Instale um firewall e, pelo menos temporariamente, faça com que ele bloqueie todas as conexões de saída. Ele deve notificá-lo quando algo tentar fazer uma conexão; nesse ponto, você deve ter o seu culpado :-)
aqui está um dos muitos artigos online que fornece informações sobre a instalação de um firewall no ubuntu:
http://linux.com/news/enterprise/systems-management/8256-installing-a-firewall-on-ubuntu