Коман­да iftop для мони­то­рин­га ваше­го сете­во­го трафика:

Еще один отлич­ный инстру­мент для отсле­жи­ва­ния ваше­го тра­фи­ка – iftop:

 

В нашем случае:

 

Коман­да lsof (спи­сок откры­тых фай­лов) для про­вер­ки ассо­ци­а­ции фай­лов <> с процессами:

Если вы подо­зре­ва­е­те, что что-то не так, коман­да lsof может выве­сти спи­сок откры­тых про­цес­сов и про­грамм, с кото­ры­ми они свя­за­ны, при запус­ке консоли:

 

Кто и w, что­бы узнать, кто вошел в ваше устройство:

Кро­ме того, что­бы знать, как защи­тить свою систе­му, необ­хо­ди­мо знать, как реа­ги­ро­вать, преж­де чем вы нач­не­те подо­зре­вать, что ваша систе­ма взло­ма­на. Одна из пер­вых команд, выпол­ня­е­мых перед такой ситу­а­ци­ей, – это w или who, кото­рая пока­жет, какие поль­зо­ва­те­ли вошли в вашу систе­му и через какой тер­ми­нал. Нач­нем с коман­ды w:

 

При­ме­ча­ние: коман­ды «w» и «who» могут не отоб­ра­жать поль­зо­ва­те­лей, вошед­ших в систе­му с псев­до­тер­ми­на­лов, таких как тер­ми­нал Xfce или тер­ми­нал MATE.

В столб­це под назва­ни­ем USER отоб­ра­жа­ет­ся имя поль­зо­ва­те­ля, на сним­ке экра­на выше пока­за­но, что един­ствен­ный заре­ги­стри­ро­ван­ный поль­зо­ва­тель – это andreyex, стол­бец TTY пока­зы­ва­ет тер­ми­нал (tty7), тре­тий стол­бец FROM отоб­ра­жа­ет адрес поль­зо­ва­те­ля, в этом сце­на­рии уда­лен­ные поль­зо­ва­те­ли не вошли в систе­му, но если они вошли в систе­му, вы мог­ли видеть там IP-адре­са. В систе­ме стол­бец @ ука­зы­ва­ет вре­мя, в тече­ние кото­ро­го поль­зо­ва­тель вошел в систе­му, стол­бец JCPU сум­ми­ру­ет минут про­цес­са, выпол­ня­е­мо­го в тер­ми­на­ле или TTY. в PCPU отоб­ра­жа­ет про­цес­сор, исполь­зу­е­мый в про­цес­се, пере­чис­лен­ных в послед­нем столб­це WHO.

В то вре­мя как w рав­но вре­ме­ни без­от­каз­ной рабо­ты , who и ps -a вме­сте дру­гая аль­тер­на­ти­ва, несмот­ря на мень­шую инфор­ма­цию, – это коман­да «who»:

 

Коман­да last для про­вер­ки актив­но­сти входа:

Дру­гой спо­соб кон­тро­ли­ро­вать актив­ность поль­зо­ва­те­лей – исполь­зо­вать коман­ду «last», кото­рая поз­во­ля­ет про­чи­тать файл wtmp, кото­рый содер­жит инфор­ма­цию о досту­пе для вхо­да, источ­ни­ке вхо­да, вре­ме­ни вхо­да в систе­му, с функ­ци­я­ми для улуч­ше­ния опре­де­лен­ных собы­тий вхо­да в систе­му, что­бы попро­бо­вать его запустить:

Послед­няя про­вер­ка актив­но­сти вхо­да в систему :

Коман­да last чита­ет файл wtmp, что­бы най­ти инфор­ма­цию об актив­но­сти вхо­да в систе­му, вы може­те рас­пе­ча­тать ее, запустив:

 

Проверка вашего статуса SELinux и включение его при необходимости:

SELinux – это систе­ма огра­ни­че­ний, кото­рая улуч­ша­ет любую без­опас­ность Linux, она вхо­дит по умол­ча­нию в неко­то­рые дис­три­бу­ти­вы Linux.

Вы може­те про­ве­рить свой ста­тус SELinux, запустив:

 

Если вы полу­чи­ли сооб­ще­ние об ошиб­ке «Коман­да не най­де­на», вы може­те уста­но­вить SELinux, запустив:

 

Затем запу­сти­те:

 

Про­верь­те любую актив­ность поль­зо­ва­те­ля, исполь­зуя исто­рию команд:

В любое вре­мя вы може­те про­ве­рить любую актив­ность поль­зо­ва­те­ля (если вы – root), исполь­зуя исто­рию команд, запи­сан­ную как поль­зо­ва­тель, за кото­рым вы хоти­те наблюдать:

 

Исто­рия команд счи­ты­ва­ет файл bash_history каж­до­го поль­зо­ва­те­ля. Конеч­но, этот файл может быть фаль­си­фи­ци­ро­ван, и вы как root може­те читать этот файл напря­мую, не вызы­вая исто­рию команд. Тем не менее, если вы хоти­те отсле­жи­вать актив­ность, реко­мен­ду­ет­ся бегать.