Пять команд, чтобы за минуту понять, что происходит на сервере

Не после инцидента, а прямо сейчас. Одинаково полезно, когда «что-то тормозит» и когда тебе просто передали чужой сервер.

1. `ss -tulpn` - кто слушает порты и каким процессом. Современная замена netstat. Первое, на что стоит смотреть на незнакомой машине: почти всегда находится сервис, про который никто не помнит, а он торчит наружу.

2. `lsof -i -P -n` - то же самое, но про уже установленные соединения. Кто, куда и каким процессом прямо сейчас разговаривает.

3. `last` и `lastb` - кто заходил и кто не смог. Вторая показывает неудачные попытки входа. Если на сервере с белым IP их тысячи - это обычный фон интернета, но хороший повод поставить fail2ban.

4. `ps auxf` - процессы деревом, а не списком. Сразу видно, кто кого породил. Скрипт, запущенный из-под веб-сервера, выглядит подозрительно именно здесь.

5. `journalctl -p err -b` - только ошибки и только с момента загрузки. Быстрее, чем листать всё подряд и надеяться на удачу.

Бонус: `tcpdump -ni any port 53` - показывает, какие имена машина резолвит в реальном времени. Иногда сразу видно, куда она ходит без спроса.

Про tcpdump у нас есть подробный разбор с примерами и фильтрами.

А что ты запускаешь первым на незнакомом сервере?
😱 - htop, посмотреть глазами
🤓 - сразу в логи

👇 Жмите на реакцию