Munin zeigt hohe Auslastung für "System"

B

brunick

New Member
Hallo,
unser Server wurde heute morgen aus einem Schwedischen IP Adressen Bereich geflooded, wodurch der apache ein wenig in die Knie gegangen ist, jetzt ist das alles geblockt und läuft wieder normal, jedoch ist seitdem die Systemload reichlich nach oben gegangen, die Munin graphen schlagen alle noch recht heftig aus und suspekt kommt mir derzeit der CPU graph vor, bei System geht die Auslastung immer mehr nach oben. Kann das eine Nachwirkung vom Angriff sein?
mfg Jannick
 

Attachments

  • cpu-day.png
    cpu-day.png
    19.7 KB · Views: 171
Hast Du mal zB via top geschaut, was da grade so viel CPU Last erzeugt?
Danach kann man dann gezielt weiter schauen.

Gruß Sven
 
naja, echt viel last seh ich bei top nicht mal, das hier ist ein durchschnittlicher auszug:
Code: 
top - 12:30:44 up 146 days, 23:03,  1 user,  load average: 0.51, 0.66, 1.57
Tasks: 168 total,   1 running, 167 sleeping,   0 stopped,   0 zombie
Cpu(s):  0.3%us,  0.1%sy,  0.1%ni, 99.5%id,  0.0%wa,  0.0%hi,  0.0%si,  0.0%st
Mem:  32856536k total, 25531368k used,  7325168k free,   220128k buffers
Swap:        0k total,        0k used,        0k free, 20702432k cached

  PID USER      PR  NI  VIRT  RES  SHR S %CPU %MEM    TIME+  COMMAND
15588 www-data  20   0  310m  17m 3808 S   14  0.1   0:00.45 apache2
 4552 mysql     20   0 33.0g 2.5g 8232 S    2  8.0   8:40.91 mysqld
    1 root      20   0 24324 2232 1296 S    0  0.0   0:40.69 init
    2 root      20   0     0    0    0 S    0  0.0   0:00.07 kthreadd
    3 root      20   0     0    0    0 S    0  0.0   0:59.09 ksoftirqd/0
    5 root      20   0     0    0    0 S    0  0.0   0:00.49 kworker/u:0
    6 root      RT   0     0    0    0 S    0  0.0 183934:55 migration/0
    7 root      RT   0     0    0    0 S    0  0.0   0:27.14 watchdog/0
    8 root      RT   0     0    0    0 S    0  0.0 191783:23 migration/1
   10 root      20   0     0    0    0 S    0  0.0   1:05.55 ksoftirqd/1
   12 root      RT   0     0    0    0 S    0  0.0   0:25.00 watchdog/1
   13 root      RT   0     0    0    0 S    0  0.0 183935:05 migration/2
   14 root      20   0     0    0    0 S    0  0.0   4:04.08 kworker/2:0
   15 root      20   0     0    0    0 S    0  0.0   0:47.39 ksoftirqd/2
   16 root      RT   0     0    0    0 S    0  0.0   0:24.76 watchdog/2
   17 root      RT   0     0    0    0 S    0  0.0   0:00.00 migration/3
   18 root      20   0     0    0    0 S    0  0.0   4:03.84 kworker/3:0
   19 root      20   0     0    0    0 S    0  0.0   1:00.31 ksoftirqd/3
   20 root      RT   0     0    0    0 S    0  0.0   0:24.61 watchdog/3
   21 root      RT   0     0    0    0 S    0  0.0   0:00.00 migration/4
   22 root      20   0     0    0    0 S    0  0.0  10:36.77 kworker/4:0
   23 root      20   0     0    0    0 S    0  0.0   1:30.66 ksoftirqd/4
   24 root      RT   0     0    0    0 S    0  0.0   0:22.77 watchdog/4
   25 root      RT   0     0    0    0 S    0  0.0   0:00.00 migration/5
   26 root      20   0     0    0    0 S    0  0.0   3:19.56 kworker/5:0
   27 root      20   0     0    0    0 S    0  0.0   0:24.30 ksoftirqd/5
   28 root      RT   0     0    0    0 S    0  0.0   0:21.12 watchdog/5
   29 root      RT   0     0    0    0 S    0  0.0   0:00.00 migration/6
   30 root      20   0     0    0    0 S    0  0.0   2:33.38 kworker/6:0
   31 root      20   0     0    0    0 S    0  0.0   0:29.22 ksoftirqd/6
   32 root      RT   0     0    0    0 S    0  0.0   0:20.34 watchdog/6
   33 root      RT   0     0    0    0 S    0  0.0   0:00.00 migration/7
   34 root      20   0     0    0    0 S    0  0.0   2:43.98 kworker/7:0
   35 root      20   0     0    0    0 S    0  0.0   0:19.54 ksoftirqd/7
   36 root      RT   0     0    0    0 S    0  0.0   0:19.79 watchdog/7
   37 root       0 -20     0    0    0 S    0  0.0   0:00.00 cpuset
   38 root       0 -20     0    0    0 S    0  0.0   0:00.00 khelper
   39 root      20   0     0    0    0 S    0  0.0   0:00.00 kdevtmpfs
   40 root       0 -20     0    0    0 S    0  0.0   0:00.00 netns
   42 root      20   0     0    0    0 S    0  0.0   0:19.65 sync_supers
   43 root      20   0     0    0    0 S    0  0.0   0:00.57 bdi-default
   44 root       0 -20     0    0    0 S    0  0.0   0:00.00 kintegrityd
   45 root       0 -20     0    0    0 S    0  0.0   0:00.00 kblockd
   46 root       0 -20     0    0    0 S    0  0.0   0:00.00 ata_sff
   47 root      20   0     0    0    0 S    0  0.0   0:00.00 khubd
   48 root       0 -20     0    0    0 S    0  0.0   0:00.00 md
   50 root      20   0     0    0    0 S    0  0.0   0:02.41 khungtaskd
   51 root      20   0     0    0    0 S    0  0.0   0:05.88 kswapd0
   52 root      25   5     0    0    0 S    0  0.0   0:00.00 ksmd
   53 root      39  19     0    0    0 S    0  0.0   0:00.00 khugepaged
   54 root      20   0     0    0    0 S    0  0.0   0:00.00 fsnotify_mark
   55 root      20   0     0    0    0 S    0  0.0   0:00.00 ecryptfs-kthrea
   56 root       0 -20     0    0    0 S    0  0.0   0:00.00 crypto
   64 root       0 -20     0    0    0 S    0  0.0   0:00.00 kthrotld
   65 root      20   0     0    0    0 S    0  0.0   0:00.00 scsi_eh_0
   66 root      20   0     0    0    0 S    0  0.0   0:00.00 scsi_eh_1
 
Hm, geschah die Blockade auf Router- / Providerebene oder im System (per Firewall)? Wenns letzteres ist, hat das System ggfalls immer noch viel mit Blocken zu tun.

Davon abgesehen: kann es sein, dass die Munindarstellung einfach nur hinterherhinkt? Wie sind denn die Abfrageintervalle?
 
Thunderbyte said:
Davon abgesehen: kann es sein, dass die Munindarstellung einfach nur hinterherhinkt? Wie sind denn die Abfrageintervalle?
Click to expand...

Sieht mir eher danach aus, dass gerade Server zum verteilten DoS-en zusammengesucht und darauf gehetzt werden.
 
also blockierung per iptables, die last geht grad n bissel zurück, bzw normalisiert sich, geh mal davon aus das die firewall noch am blockieren war

Ip Bereich war übrigends 193.182.189.0-193.182.189.255
falls da noch jemand n bissel was an anfragen von hatte :D

@Thunderbyte: Munin alle 3 minuten - ist immer recht aktuell wenn man mal größere anfragen an den Server stellt
 
Last edited by a moderator:
Thunderbyte said:
Naja, dann ists doch völlig klar warum die Systemlast hoch ist, oder? Nur wenn der DDoS am Switch oder früher rausgefiltert wird, hats gar keine Auswirkungen aufs System.
Click to expand...

naja, einleuchten tuts mir da jetzt doch :)
der Server steht bei Hetzner, davor sind höchstens n paar router/switche - sonst wird der traffic wohl direkt durchgehen
 
Wenn dann muss der Hoster da Maßnahmen dagegen unternehmen. Du selbst kannst einen Angriff nicht von Deinem Server fernhalten, sondern allerhöchstens die Dienste schützen.
 
You must log in or register to reply here.
Back
Top