Ungewöhnlicher Traffic

[Firedead]

Hallo,

hoffe mal jemand hat eine Idee oder kann mir ggf. Helfen.

Wir haben einen Root Server bei Server4You auf den wir mehrerne Radiostreams (Shoutcast) laufen haben. Diese verursachen täglich um die 10 - 13 GB Traffic.

Nun haben wir festgestellt das am Wochenende 25.6 und 26.6 vermehrt Traffic verursacht wurde und ich finde kein Anhaltpunkt woher dieser extreme Traffic hergekommen ist.

Am 25.6 zwischen 22:30 und 23.30 wurden 851 GB Traffic erzeugt als Sonstiges.

Am 26.6 zwischen 11:00 und 12:00 wurden 1,23 TB Traffic erzeugt auch als Sonstiges.

Ich bin ratlos was könnte diesen Traffic erzeugt haben dies ist das erstemal das sowas in der Statistik auftaucht. Quäl mich schon den ganzen Tag durch die Log Datein durch um irgendwelche anhaltspunkte zu finden, aber ich finde nix.

Server:
OS: Debian Squeeze
CPU: AMD Athlon™ II X4 605e Processor
Takt: 2295 Mhz
Ram: 7,95 GB
Swap: 1,91 GB
MD1: 880 GB
Netzwerk: 100 MBit

Liebe Grüße
Firedead

[piccolo]

Hi Firedead,

ist das nur an diesen beiden Tagen aufgetreten?
Oder ist nun der Traffic immer so hoch? Kannst du herausfinden ob der Traffic über die Shoutcast Server zustande gekommen ist oder über welche Ports er ging?

Ist der Server in einer veröffentlichten Liste von Shoutcast Stationen drin? evtl. hattet Ihr zu dieser Zeit einfach nur extrem viele "Hörer" ?

Gruß
piccolo

[Firedead]

Hi Piccolo,

der Traffic ist nur an den beiden Tagen aufgetaucht. Normaler Trafficverbrauch liegt zwischen 10 - 13 GB am Tag.

Der Traffic wurde laut Statistik (ISPCP) innerhalb 1 Std erzeugt. Und die Streams lassen maximal nur 50 Hörer zu wegen Gema/Gvl wird sonst zu Teuer.

Wir haben 1 Hauptradio dies hat meist um die 12 Hörer und ist öffentlich.
Die anderen Streams senden zu Secondlife dort hören aber auch nur meinst um die 5 Hörer zu und auch nur Abends.

Die Streams laufen mit 128 kbps also die max Hörerzahl(50) könnte maximal pro Std ein Traffic erzeugen von 22 GB. Die Hörerzahl war aber nicht ausgeschöpft diese lag beim Hauptradio bei 37 Hörer.

Also durch die Stream könnte es eigentlich nicht passiert sein. Weitere Anhaltspunkte kann ich leider nicht geben da ich selber auf der Suche nach diesen bin.

Liebe Grüße
Firedead

[Firedead]

Hallo,

nachdem Server4You unseren Server gesperrt haben konnte Server4You uns auch den Grund nennen.

Irgendwelche Hacker haben über PostFix Daten zu unseren Server gespielt und phisching betrieben um an Bank Kunden zu kommen der Royalbank.com

Nun mussten wir Postfix erstmal dicht machen und den Server bereiningen. Desweiteren haben wir anweisung erhalten postfix sicher zu machen.

Muss dann halt eben Googlen um an Infos zu kommen oder weiss zufällig jemand von euch wie man Postfix sicher machen kann habe die Daten ja so von ISPCP übernommen.

Liebe Grüße
Firedead

[ephigenie]

Postfix an sich ist meist sicher - in der ispCP config.

Aber gut möglich - und was oft passiert ist, dass Skripte auf der Webseite manipuliert werden können, die mails verschicken ...

Also nicht nur den Server + ispCP auf dem neuesten Stand halten, auch die Software unter den Webseiten ...

[kk88]

aber irgendwie kann bei den angaben was nicht stimmen... bei einer 100Mbit Leitung gehen so max 8-9MB/s drüber wenn du das jetzt 9MB/s hast und das mal 3600 (1 Stunde rechnest) kommst du auf ca. 32400MB also ca. 32GB

Ich würde am besten alles durchsehen und gegebenfalls gleich neu aufsetzen da du nie weißt was alles manipuliert wurde

[Firedead]

Hi,

@kk88

Bei 9 MBit/Sek kommt das hin.

Aber man rechnet ja die Radio Kbps * Hörerzahl * 3600


Habe Postfix auch mittlerweiler wieder Aktiviert und beobachte das weiterhin.

LG
Firedead

[Wachert]

Durch 100Mbit/s kann man 11,9MB/s blasen wenn beide Seiten optimal "mitspielen".

Bei Postfix auf jedenfall entsprechende Limitierungen setzen, also max_connections per IP, maximale Anzahle Mails pro X, prüfen ob Logins sauber vorausgesetzt werden, SASL aktivieren, etc.

[kk88]

@firedead das musst du mir näher erläutern wie du mehr durch bekommst dein Server hat 1 physikalische Interface eventuell 2 wenn man das jetzt mit den 11,9MB rechnet kann das trotzdem nicht 850 bzw. 1,3 TB in einer Stunde rauskommen...

@Wachert ja wenn alle beide Seiten optimal zusammenspielen und dann musst aber noch das Protokoll wegrechnen usw und sofort also im endeffekt war das meiste was ich über samba rausgebracht habe 9-10MB/s