Как понять, какая программа (сервис) пытается законнектиться на сервер?

https://etherape.sourceforge.io/

Может показать, кто куда лезет прямо в графоне.

lsof

крутота. Есть еще альтернативы?

Возможно, мне этой хватало.

Так-то можно весь трафик WireShark’ом поснифать и прям в пакеты смотреть. Но тут нагляднее и быстрее получается.

Оно умеет показывать имена процессов?

Мне по памяти кажется, что да, но я могу ошибаться.

lsof

Эта штука показывает моментальный снимок. И если в момент запуска lsof интересуемого сетевого обмена нет (а его, конечно, нет) то ничего и не увидишь.

Не, нужно стандартными средствами. В сертифицированный контур никто левое ПО засовывать не будет.

1) запускай netstat от рута

2) попробуй его поймать пока оно ещё не перешло в TIME_WAIT

Как я понимаю ему отвечают reject-ом сразу и поэтому соединение долго не живёт. Зафайрволь ответы от 192.168.1.251:22 (именно входящие пакеты, исходящие не трогай, а то оно и не начнёт ничего), тогда оно будет сначала долго висеть в connecting-состоянии и будет легче поймать.

iptables --insert INPUT --source 192.168.1.251 --source-port 22 --jump DROP

Как я понимаю ему отвечают reject-ом сразу и поэтому соединение долго не живёт. Зафайрволь ответы от 192.168.1.251:22, тогда оно будет сначала долго висеть в connecting-состоянии и будет легче поймать.

Сделал так, и поймал вот это:

Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
tcp        0      1 192.168.1.95:58628      192.168.1.251:22        SYN_SENT    28115/ssh

lsof -p 28115

netstat давно deprecated, lsof гораздо удобнее, переучивайся, э!

Установи LogWatch Он будет парсить Все логи сервера и раз в сутки писать тебе телегу Кто и зачем и чем долбил твой любимый аппарат.

так ведь ss замена нетстату, не?

4.2

По опыту ss может быть полезен только в сценариях с SCTP.
Во всех остальных lsof его заруливает по всем параметрам

Эта штука показывает моментальный снимок. И если в момент запуска lsof интересуемого сетевого обмена нет (а его, конечно, нет) то ничего и не увидишь.

включить аудит системных вызовов socket() и connect() и посмотреть

включить аудит системных вызовов socket() и connect() и посмотреть

Ну да, это так просто, настроить аудит системных вызовов, чтобы посмотреть одно событие.

Запусти netstat из-под sudo, и вместо черточек справа будут имена)

Да, по-моему, это несложно.

EtheRape - говорящее название.

Запусти netstat из-под sudo

Может вы хотели сказать из под рута?

Это одной строчкой делается. Самый простой вариант.