linux vdor -- nekdo skenira druge prek SSH ?

Imam linux streznik. Dobil sem opozorilo da moj PC skenira druge preko 22.porta.
Va katere loge naj pogledam (ali procese. Kako ?) da bi videl kje je vzrok, in
ce vsiljivca lahko odstranim brez da bi sel preformatirat streznik ?

lsof in netstat mi pokažeta trenutne povezave, kajne ?

So se kam zapisale tudi v kak log, da bi jih lahko pogledal nazaj ?
Se da to kako uredit za vnaprej - da bi se logiralo ?

Ne verjamem, da bo kje kak log. Bi blo preveč tega in preveč bi bremzalo sistem.

Lahko pa IMHO nastaviš lasetn firewall da ti logira attempt, ko gre ven paket s target portom 22.

Mogoče lahko dobišš celo ven kateri program je bil to...

Poženi še rkhunter.

Še enostavneje - poglej kdo je zadnji uporabljal tvoj sistem:
$ last | grep -v "^$" | awk '{ print $1 }' | sort -nr | uniq -c

če skenira, potem verjetno več IP-jev naenkrat. Preveri:
$ netstat -ntu | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n | tail

Kateri fajli so bili nazadnje spremenjeni:
$ ls -lrt

ko ugotoviš kdo, ugasneš vse kaj ima zagnano:
$ ps -ef | grep $USERNAME | awk {'print $2'} | xargs kill [-9]

rkhunter in podobne zadeve so za lnx dosti manj razvite kot za win. Poglej, katere porte imaš odprte (netstat ne pomaga nič če imaš rootkit):
nmap -sS -P0 -sV -O "target"

Še nekaj orodij, za preverjanje integritete datotečnega sistema:
http://www.la-samhna.de/library/scanner...