一、網(wǎng)絡(luò)流量實時監(jiān)控工具

1. iftop：可視化流量監(jiān)控

• 功能：實時顯示網(wǎng)卡流量、連接數(shù)、IP 通信量，快速定位異常流量來源。

• 安裝命令（CentOS/Ubuntu）：

  bash

  # CentOSyum install iftop -y# Ubuntuapt-get install iftop -y

  
  

• 常用參數(shù)：

  bash

  iftop -i eth0 -P -n  # -i指定網(wǎng)卡，-P顯示端口，-n不解析域名

  
  

• 攻擊特征：

• 某一 IP 或端口的流量突然飆升，超過服務(wù)器正常帶寬的 50% 以上。

• 大量來自不同 IP 的短時連接（如 UDP Flood）。

2. tcpdump：抓包分析協(xié)議特征

• 功能：捕獲網(wǎng)絡(luò)數(shù)據(jù)包，分析攻擊類型（如 SYN Flood、ICMP Flood）。

• 示例命令：

  bash

  tcpdump -i eth0 -n host 192.168.1.100  # 抓指定IP的包tcpdump -i eth0 -n 'tcp and port 80'  # 抓80端口的TCP包

  
  

• 攻擊特征：

• SYN Flood：大量 SYN 包但無 ACK 響應(yīng)（tcpdump | grep "SYN,ACK" | wc -l 遠小于 SYN 包數(shù)量）。

• UDP Flood：短時間內(nèi)大量 UDP 包發(fā)往隨機端口。

3. nload：帶寬實時監(jiān)控

• 功能：分上下行顯示帶寬使用情況，設(shè)置閾值預(yù)警。

• 安裝與使用：

  bash

  yum/apt-get install nload
  nload eth0  # 監(jiān)控eth0網(wǎng)卡

  
  

• 異常判斷：

• 下行帶寬持續(xù)超過服務(wù)器峰值帶寬的 80%，且非正常業(yè)務(wù)流量（如無更新、下載）。

二、系統(tǒng)連接與資源監(jiān)控

1. netstat/lsof：連接數(shù)異常檢測

• 查看全連接數(shù)：

  bash

  netstat -an | grep ESTABLISHED | wc -l  # 正常游戲服務(wù)器連接數(shù)通常穩(wěn)定在幾百到幾千

  
  

• 查看異常 IP 連接數(shù)：

  bash

  netstat -an | grep :80 | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -nr | head -10

  
  

• 攻擊特征：

• 單一 IP 的連接數(shù)超過 100+（正常用戶通常 1-5 個連接）。

• CLOSE_WAIT或SYN_RECV狀態(tài)的連接數(shù)激增（SYN Flood 特征）。

2. top/htop：CPU 與內(nèi)存壓力檢測

• 命令示例：

  bash

  top -o %CPU  # 按CPU占用排序htop  # 可視化查看進程資源占用

  
  

• 攻擊特征：

• 網(wǎng)卡軟中斷（top中si%）占用 CPU 超過 30%（可能為大量小包攻擊）。

• 內(nèi)存帶寬被占滿，或出現(xiàn) swap 交換（流量過大導(dǎo)致系統(tǒng)資源耗盡）。

3. ss：TCP 狀態(tài)詳細分析

• 查看各狀態(tài)連接數(shù)：

  bash

  ss -s  # 總連接數(shù)統(tǒng)計ss -tan | awk '{print $2}' | sort | uniq -c  # 各狀態(tài)連接數(shù)

  
  

• DDoS 典型狀態(tài)：

  plaintext

  LISTEN     1000+    # 監(jiān)聽端口數(shù)異常高
  SYN_RECV   500+     # SYN半連接過多

  
  

三、日志分析與自動化檢測工具

1. DDoS deflate：自動檢測與封禁工具

• 部署步驟：

1. 安裝腳本：wget https://raw.githubusercontent.com/jgmdev/ddos-deflate/master/ddos-deflate.sh

2. 配置閾值（如MAX_CONNECTIONS=100）：vi /etc/ddos-deflate.conf

3. 啟動服務(wù)：sh ddos-deflate.sh start

• 檢測原理：

• 通過netstat監(jiān)控各 IP 連接數(shù)，超過閾值則用iptables封禁 IP。

• 日志查看：tail -f /var/log/ddos-deflate.log，查看被封禁的 IP 和原因。

2. Web 服務(wù)日志分析（Nginx/Apache）

• 異常請求檢測：

  bash

  # Nginx日志中找高頻訪問IPgrep '2023-06-13' access.log | awk '{print $1}' | sort | uniq -c | sort -nr | head -10

  
  

• 攻擊特征：

• 單一 IP 短時間內(nèi)發(fā)起 1000 + 次請求（CC 攻擊）。

• 請求路徑異常（如大量訪問不存在的 URL）。

3. fail2ban：暴力破解與 DDoS 聯(lián)動檢測

• 配置優(yōu)化：

  bash

  vi /etc/fail2ban/jail.conf[nginx-http-auth]maxretry = 20        # 調(diào)整失敗次數(shù)閾值findtime = 60s       # 縮短檢測時間窗口

  
  

• 檢測效果：

• 實時監(jiān)控 SSH、Web 等服務(wù)日志，自動封禁高頻攻擊 IP。

四、..流量分析與告警系統(tǒng)

1. Prometheus+Grafana：可視化監(jiān)控與告警

• 關(guān)鍵指標(biāo)配置：

• node_network_transmit_bytes：出站流量閾值（如超過服務(wù)器帶寬 80% 時告警）。

• tcp_connections：總連接數(shù)超過 10000 時觸發(fā)告警。

• Grafana 儀表盤示例：

• 繪制 “各 IP 連接數(shù) TOP10” 圖表，實時顯示異常 IP。

2. MTR/Traceroute：網(wǎng)絡(luò)路徑異常檢測

• 功能：檢測是否存在流量劫持或異常路由（DDoS 牽引后的路徑驗證）。

• 命令示例：

  bash

  mtr -n 8.8.8.8  # 查看到谷歌DNS的路由是否穩(wěn)定

  
  

• 異常判斷：

• 某一跳延遲突然升高（如超過 500ms），可能為攻擊導(dǎo)致網(wǎng)絡(luò)擁塞。

五、貴州服務(wù)器專屬檢測建議

1. 結(jié)合 BGP 網(wǎng)絡(luò)監(jiān)控：

• 使用bgpq3或機房提供的 BGP 監(jiān)控工具，查看路由表是否有異常流量牽引（如貴州本地 BGP 節(jié)點流量突然激增）。

2. IDC 機房聯(lián)動檢測：

• 聯(lián)系貴州 IDC 機房（如貴安新區(qū)數(shù)據(jù)中心）獲取流量清洗日志，確認(rèn)是否觸發(fā)機房級抗 D 設(shè)備。

3. 地域 IP 分析：

• 用geoiplookup分析攻擊 IP 地域，若大量來自非游戲用戶集中地區(qū)（如海外），可能為 DDoS 攻擊。

  bash

  apt-get install geoip-database geoip-bin
  geoiplookup 1.1.1.1

  
  

六、應(yīng)急檢測流程（實戰(zhàn)步驟）

1. ..步：快速判斷是否遭攻擊

   bash

   # 1. 查看帶寬nload eth0# 2. 查看連接數(shù)netstat -an | wc -l# 3. 查看異常IPnetstat -an | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -nr | head

   
   

2. 第二步：定位攻擊類型

• 若帶寬占滿：可能為 UDP/ICMP Flood。

• 若連接數(shù)爆增：可能為 SYN Flood 或 CC 攻擊。

3. 第三步：啟動應(yīng)急檢測工具

   bash

   tcpdump -i eth0 -c 1000 -w attack.pcap  # 抓包保存分析ddos-deflate.sh manual  # 手動觸發(fā)一次檢測封禁

   
   

通過以上工具和方法，可在 Linux 系統(tǒng)中實時檢測 DDoS 攻擊，并結(jié)合貴州服務(wù)器的網(wǎng)絡(luò)環(huán)境快速定位問題，為后續(xù)防御（如流量牽引、IP 封禁）提供數(shù)據(jù)支撐。建議將檢測命令寫成 Shell 腳本，定時執(zhí)行并發(fā)送告警郵件，提升響應(yīng)效率。

（聲明：本文來源于網(wǎng)絡(luò)，僅供參考閱讀，涉及侵權(quán)請聯(lián)系我們刪除、不代表任何立場以及觀點。）