Утекает трафик через непонятный процесс

Не знаю как работает NetHogs, но если pid'а нет, может и процесса нет, может просто идёт syn-флуд с этого самого 148.x.x.x. Посмотрите tcpdump'ом что у вас с трафиком на этот ip-адрес, может информация и не передаётся.

Присоединяюсь к tcpdump

Плюс, можно посмотреть, что скажет

netstat -lntp

со вчерашнего дня IP атакующего (?) сменился с 148.251.20.134 на

Вывод tcpdump выглядит так

16:16:43.455554 IP 217.68.217.152.47915 > muspelheim.http: Flags [S], seq 19918033, win 29200, length 0
16:16:43.455561 IP muspelheim.http > 217.68.217.152.47915: Flags [R.], seq 0, ack 19918034, win 0, length 0
16:16:43.488831 IP muspelheim.ssh > 217.68.213.96.50466: Flags [S.], seq 2929885984, ack 1235327394, win 29200, options [mss 1460], length

Вывод netstat

Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
tcp        0      0 127.0.0.1:25            0.0.0.0:*               LISTEN      933/exim4
tcp        0      0 127.0.0.1:3306          0.0.0.0:*               LISTEN      596/mysqld
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      544/sshd
tcp6       0      0 ::1:25                  :::*                    LISTEN      933/exim4
tcp6       0      0 :::21                   :::*                    LISTEN      517/vsftpd
tcp6       0      0 :::22                   :::*                    LISTEN      544/sshd

Меня посещает смутное сомнение, а не может ли это быть cloudflare? Может он тыкает сервак на предмет активен ли http?

Судя по всему, кто-то пытается пощупать твой http. После TCP Syn твой хост (muspelheim - это же ты?) отвечает TCP Rst, установления соединения не происходит, судя по всему - просто потому, что на 80 порту никто не слушает.

Интереснее выглядит вот эта строчка:

16:16:43.488831 IP muspelheim.ssh > 217.68.213.96.50466: Flags [S.], seq 2929885984, ack 1235327394, win 29200, options [mss 1460], length

Чего это твой ssh разговаривает с турецким IP?

Мой ssh вообще уже со всем миром говорит, потому что висит на 22 порту, но авторизация только по ключу. Но это не мешает всяким ботам толпами ломиться и пробовать подобрать логин\пароль. В таких случаях лучше перевесить на другой порт? fail2ban - установлен, но до ввода пароля негодяи не доходят, скидывает сразу после ввода логина.

Перевешивать на другой порт смысла, КМК, особого нет, сканирование найдет его где угодно. Я бы вообще задумался, нужен ли мне ssh, торчащий в интернет.

Если вот прямо есть необходимость в удаленном доступе, то я бы поднял VPN-сервер, и через него ходил. А то в sshd тоже, знаете ли, бывают уязвимости.

Если вот прямо есть необходимость в удаленном доступе, то я бы поднял VPN-сервер, и через него ходил. А то в sshd тоже, знаете ли, бывают уязвимости.

Странные советы Вы даете! Вместо простого и десятилетиями отлаженного и отдебаженного sshd, Вы предлагаете целый VPN, который вылизан больше чем sshd и намного меньше его по коду? И который, в отличии от sshd, заэксплоутить не возможно?

Или это был такой сарказм?

Это не сарказм, это best practice.

sshd, при всей своей отлаженности, таки имеет уязвимости. Да, их оперативно закрывают, но тем не менее. OpenVPN, к слову сказать, вылизан не меньше.

Архитектурно же, не стоит высовывать во внешний мир никакие сервисы, которые используются для управления защищаемой системой. Если атакующему надо сперва атаковать VPN-шлюз, а после этого - еще и sshd, то это существенно усложняет атаку, а значит - снижает риски. Аутентификация по ключу и fail2ban - это замечательные вещи, но пренебрегать эшелонированной защитой тоже не стоит.

PS Естественно, это имеет смысл только, если VPN-шлюз вынесен на отдельную машину.

PPS

Вы предлагаете целый VPN, который вылизан больше чем sshd и намного меньше его по коду? И который, в отличии от sshd, заэксплоутить не возможно?

Тут или VPN с sshd местами перепутаны, или это аргумент в мою пользу. Правда, openVPN тоже, в принципе, можно атаковать.

sshd, при всей своей отлаженности, таки имеет уязвимости.

Можно пример опасной уязвимости за последние лет 5?

CVE-2019-16905 - целочисленное переполнение и исполнение кода (проявляется пр компиляции с экспериментальными ключами), но по ней еще продолжается рассмотрение.

CVE-2018-15919 - перечисление пользователей (существенно упрощает брутфорс)

CVE-2016-10708 - отказ в обслуживании.

Это если особо не искать.

1 в дикой природе не наблюдается. 2 только с gss2 т.е. к типовой конфигурации тоже не относится. 3 роняет демона, который тут же перезапустится. Неприятно но в целом мелочь.

1. закрыть ssh, перевесив на другой порт-помогает в более чем 50% случаев, большинство ботов тупо ломиться на 22 порт. просканировать еще надо уметь и это время, и то, если настроено криво, то получится.
2. lsof+tcpdump+strace+логирование-детально все шерстить и мониторить.
3. iptables-рубить не только входящие, кроме нужных, но и исходящие(опционально и зависит от конкретной системы и использующихся на ней сервисов)
4. fail2ban-уже есть, и это гуд.
5. желателен snort-позволит рубить активность гораздо более гибко.
6. также желательно не проигнорировать selinux-классная штука, хоть не не очень простая, особенно для новичков. но если освоишь-прочувствуешь мощь этого инструмента.
7. можно вкрутить еще knocking портов-поможет отбивать то сильно беспокоит из внешней сети, возможно и из внутренней, при особой сноровке.

Странные советы Вы даете!

Вот-вот!…