Cómo encontrar el servicio o el proceso al que se enfrentó [UFW BLOCK]

Question

Pasé todo el día tratando de encontrar una respuesta a mi problema pero no tuve suerte, así que decidí escribir aquí. No soy un experto en Linux, así que perdón si mi pregunta es tonta. Vi el siguiente mensaje en mi /var/log/syslog :

applications kernel: [24592.875919] [UFW BLOCK] IN= OUT=ens18 SRC=192.168.1.100 DST=91.189.89.199 LEN=76 TOS=0x10 PREC=0x00 TTL=64 ID=36213 DF PROTO=UDP SPT=33338 DPT=123 LEN=56

donde 192.168.1.100 es la dirección IP de mi servidor. Tenga en cuenta que definí las reglas de UFW para que ningún puerto saliente o entrante esté abierto a menos que sea absolutamente necesario, por lo que bloquear dicha solicitud es la acción correcta. Ahora supongo que hay un archivo malicioso en algún lugar de mi servidor que activa esto cada 30 minutos aproximadamente (esa es la frecuencia con la que se muestra en los registros), sin embargo, la IP de destino y el SPT son diferentes en cada intento. Ahora me gustaría encontrar el archivo / proceso ejecutable / o lo que sea que cause este mensaje, ¡pero hasta ahora no tuve suerte!

Agradecería cualquier ayuda de su lado.

Answer 1

Para su paquete de ejemplo bloqueado, el indicador clave es el puerto de destino, 123. Ese es el puerto de protocolo de tiempo de red. Y entonces la pista es que el servicio es NTP, que Ubuntu ejecuta. El segundo indicador es la dirección de destino que se ve como golem.canonical.com, que supongo que es el host Ubuntu NTP. En realidad, hacer una búsqueda inversa ntp.ubuntu.comda la misma IP, por lo que tiene algunos alias ':

$ nslookup ntp.ubuntu.com
Server:         127.0.0.1
Address:        127.0.0.1#53

Non-authoritative answer:
Name:   ntp.ubuntu.com
Address: 91.189.89.198
Name:   ntp.ubuntu.com
Address: 91.189.89.199
Name:   ntp.ubuntu.com
Address: 91.189.94.4
Name:   ntp.ubuntu.com
Address: 91.189.91.157

Por tanto, el servicio es NTP.

Verifique vía (este ejemplo está en un servidor, tal vez los escritorios sean iguales):

$ systemctl status systemd-timesyncd
● systemd-timesyncd.service - Network Time Synchronization
     Loaded: loaded (/lib/systemd/system/systemd-timesyncd.service; enabled; vendor preset: enabled)
     Active: active (running) since Wed 2020-08-19 15:22:05 PDT; 16h ago
       Docs: man:systemd-timesyncd.service(8)
   Main PID: 640 (systemd-timesyn)
     Status: "Initial synchronization to time server 91.189.89.199:123 (ntp.ubuntu.com)."
      Tasks: 2 (limit: 18892)
     Memory: 1.2M
     CGroup: /system.slice/systemd-timesyncd.service
             └─640 /lib/systemd/systemd-timesyncd

Aug 19 15:22:05 s18 systemd[1]: Starting Network Time Synchronization...
Aug 19 15:22:05 s18 systemd[1]: Started Network Time Synchronization.
Aug 19 15:22:11 s18 systemd-timesyncd[640]: Network configuration changed, trying to establish connection.
Aug 19 15:22:11 s18 systemd-timesyncd[640]: Initial synchronization to time server 91.189.89.199:123 (ntp.ubuntu.com).

Mientras el mío funciona, el tuyo no habrá podido sincronizarse porque bloqueaste los paquetes.