Red muy alta en instancia ec2

Lancé una instancia de ubuntu-14.04-64bit en Amazon EC2 hace dos días. Y comencé Tomcat 7.0.54 en esa instancia e implementé mis archivos de guerra de aplicaciones. No tiene otro software instalado que no sea Tomcat y los predeterminados. En los últimos 2 días, muestra 858 GB de transferencia de datos (salida de red) de esa instancia. He adjuntado un gráfico de Amazon CloudWatch Metric "Network Out"

ingrese la descripción de la imagen aquí

Mi aplicación no realiza ninguna descarga / carga de datos. Es una aplicación Java Spring y el front-end está en HTML y Javascript. El tráfico de mi aplicación fue muy bajo (menos de 20 visitas) en esos 2 días.

¿Hay alguna manera de averiguar por qué ocurrieron estas transferencias de datos y también para encontrar qué datos se han transferido? Si puede ver en el gráfico, la salida de la red fue de 20 gb por minuto.

Un poco más de información: la red en era insignificante El uso de la CPU era muy alto Todo lo demás era bajo

— Jatin
fuente

Déjame adivinar. Es probable que ejecute un servidor de descarga de archivos. Sin saberlo. Es decir, te rootearon, probablemente porque realmente no sabes cómo configurar un servidor seguro. Definitivamente el escenario más probable dada la gran cantidad de tráfico.

— TomTom

@TomTom Ok. ¿Puedes por favor decir más? En resumen, tomé una nueva instancia, instalé java y ejecuté tomcat. Eso es. Nada más. Y no descargó nada (el ancho de banda era insignificante)

— Jatin

No. Contar con un profesional para configurar su servidor puede ser una buena idea.

— TomTom

Lo más probable es que su servidor esté comprometido y utilizado para realizar ataques DoS .

Como parece que el tráfico no es tan raro, intente atrapar la transferencia mediante algún tipo de alerta (puede ser Amazon one o un script personalizado).

Luego use netstat, nethogs, ps, tcpdump,etc ... para identificar la fuente de tráfico.

— Roca
fuente

Entonces, el problema era: La contraseña del nombre de usuario de la consola del administrador de Apache Tomcatera tomcat/tomcat.

Y supongo que alguien desplegó un archivo de guerra que envió demasiadas solicitudes. Además, incluso cambió los niveles de permisos del directorio expandido en webapps. Gran error de seguridad.

— Jatin
fuente