Bagaimana menemukan layanan atau proses yang dihadapi [UFW BLOCK]

Question

Saya menghabiskan seluruh hari saya mencoba menemukan jawaban untuk masalah saya tetapi tidak berhasil, jadi saya memutuskan untuk menulis di sini. Saya bukan ahli Linux, jadi maafkan jika pertanyaan saya bodoh. Saya melihat pesan berikut di saya /var/log/syslog :

applications kernel: [24592.875919] [UFW BLOCK] IN= OUT=ens18 SRC=192.168.1.100 DST=91.189.89.199 LEN=76 TOS=0x10 PREC=0x00 TTL=64 ID=36213 DF PROTO=UDP SPT=33338 DPT=123 LEN=56

di mana 192.168.1.100 adalah alamat IP server saya. Perhatikan bahwa saya mendefinisikan aturan UFW sehingga tidak ada port keluar atau masuk yang terbuka kecuali benar-benar diperlukan, jadi permintaan seperti itu diblokir adalah tindakan yang tepat. Sekarang tebakan saya adalah bahwa ada file berbahaya di suatu tempat di server saya yang memicu ini setiap 30 menit atau lebih (begitulah seringnya ditampilkan di log) namun, IP Tujuan dan SPT berbeda dalam setiap percobaan. Sekarang saya ingin menemukan file / proses yang dapat dieksekusi / atau apa pun yang menyebabkan pesan ini tetapi sejauh ini tidak berhasil!

Saya sangat menghargai bantuan dari pihak Anda.

Answer 1

Untuk contoh paket yang diblokir, indikator kuncinya adalah port tujuan, 123. Itu adalah port protokol waktu jaringan. Jadi petunjuknya adalah bahwa layanan tersebut adalah NTP, yang dijalankan Ubuntu. Indikator kedua adalah alamat tujuan yang terlihat seperti golem.canonical.com, yang saya asumsikan adalah host Ubuntu NTP. Sebenarnya, melakukan pencarian terbalik untuk ntp.ubuntu.commemberikan IP yang sama, jadi ia memiliki beberapa alias ':

$ nslookup ntp.ubuntu.com
Server:         127.0.0.1
Address:        127.0.0.1#53

Non-authoritative answer:
Name:   ntp.ubuntu.com
Address: 91.189.89.198
Name:   ntp.ubuntu.com
Address: 91.189.89.199
Name:   ntp.ubuntu.com
Address: 91.189.94.4
Name:   ntp.ubuntu.com
Address: 91.189.91.157

Oleh karena itu layanannya adalah NTP.

Periksa melalui (contoh ini ada di server, mungkin desktopnya sama):

$ systemctl status systemd-timesyncd
● systemd-timesyncd.service - Network Time Synchronization
     Loaded: loaded (/lib/systemd/system/systemd-timesyncd.service; enabled; vendor preset: enabled)
     Active: active (running) since Wed 2020-08-19 15:22:05 PDT; 16h ago
       Docs: man:systemd-timesyncd.service(8)
   Main PID: 640 (systemd-timesyn)
     Status: "Initial synchronization to time server 91.189.89.199:123 (ntp.ubuntu.com)."
      Tasks: 2 (limit: 18892)
     Memory: 1.2M
     CGroup: /system.slice/systemd-timesyncd.service
             └─640 /lib/systemd/systemd-timesyncd

Aug 19 15:22:05 s18 systemd[1]: Starting Network Time Synchronization...
Aug 19 15:22:05 s18 systemd[1]: Started Network Time Synchronization.
Aug 19 15:22:11 s18 systemd-timesyncd[640]: Network configuration changed, trying to establish connection.
Aug 19 15:22:11 s18 systemd-timesyncd[640]: Initial synchronization to time server 91.189.89.199:123 (ntp.ubuntu.com).

Sementara milik saya berfungsi, milik Anda akan gagal untuk menyinkronkan karena Anda memblokir paket.