☰

알 수 없는 IP 주소는 UDP/sunrpc 네트워크를 많이 사용합니다.

tag-icon • tag-icon networking security udp
알 수 없는 IP 주소는 UDP/sunrpc 네트워크를 많이 사용합니다.

지난 주 정도에 걸쳐 내 네트워크 모니터링에 따르면 내 데스크탑 컴퓨터가 정기적으로 이더넷 연결(eno)을 통해 ~0.7MB/s의 데이터를 전송하기 시작했습니다.

저는 네트워크 프로토콜에 대해 거의 알지 못하지만 어떤 프로세스가 이러한 과도한 네트워크 사용을 담당하는지 알아내려고 노력해 왔습니다. 몇 가지 간단한 방법으로는 웹 브라우저를 닫거나 Dropbox를 종료하는 등이 있습니다. 이들 중 누구도 범인은 아닌 것 같습니다.

또한 사용해 보았지만 nethogs이 사용 수준에서 네트워크를 사용하는 프로세스는 표시되지 않습니다. 그러다가 iptraf-ng. UDP/sunrpc​이 정보를 or와 함께 lsof -i:sunrpc사용해 보았지만 lsof -i:111아무 것도 얻지 못했습니다.

ipgraf-ngsunrpc의 출력을 필터링하면 다음과 같은 결과가 나타납니다.

Wed Feb 21 14:31:32 2024; UDP; eno1; 1500 bytes; from machine.domain.edu:sunrpc to 156.226.77.151:5709
Wed Feb 21 14:31:32 2024; UDP; eno1; 68 bytes; from 160.20.57.123:32421 to machine.domain.edu:sunrpc
Wed Feb 21 14:31:32 2024; UDP; eno1; 1500 bytes; from machine.domain.edu:sunrpc to 160.20.57.123:32421
Wed Feb 21 14:31:32 2024; UDP; eno1; 68 bytes; from 156.226.101.174:39960 to machine.domain.edu:sunrpc
Wed Feb 21 14:31:32 2024; UDP; eno1; 1500 bytes; from machine.domain.edu:sunrpc to 156.226.101.174:39960
Wed Feb 21 14:31:32 2024; UDP; eno1; 68 bytes; from 103.80.24.127:22853 to machine.domain.edu:sunrpc
Wed Feb 21 14:31:32 2024; UDP; eno1; 1500 bytes; from machine.domain.edu:sunrpc to 103.80.24.127:22853
Wed Feb 21 14:31:32 2024; UDP; eno1; 68 bytes; from 156.226.125.197:56897 to machine.domain.edu:sunrpc
Wed Feb 21 14:31:32 2024; UDP; eno1; 1500 bytes; from machine.domain.edu:sunrpc to 156.226.125.197:56897
Wed Feb 21 14:31:32 2024; UDP; eno1; 68 bytes; from 103.30.201.131:27703 to machine.domain.edu:sunrpc
Wed Feb 21 14:31:32 2024; UDP; eno1; 1500 bytes; from machine.domain.edu:sunrpc to 103.30.201.131:27703
Wed Feb 21 14:31:32 2024; UDP; eno1; 68 bytes; from 154.204.194.227:21216 to machine.domain.edu:sunrpc
Wed Feb 21 14:31:32 2024; UDP; eno1; 1500 bytes; from machine.domain.edu:sunrpc to 154.204.194.227:21216

이러한 IP 주소를 검색해 보면 해당 IP 주소가 내가 아는 어떤 개체와도 연결되어 있지 않기 때문에 걱정됩니다.

무슨 일이 일어나고 있는지 이해하도록 도와줄 수 있는 사람이 있나요?

답변1

@Bib와 @eyoung100이 지적했듯이 내 컴퓨터는 DNS 공격을 증폭시키는 데 사용되었습니다. rpcbind다음 명령을 사용하여 서비스를 중지하고 비활성화했습니다 .

$ sudo systemctl stop rpcbind
$ sudo systemctl stop rpcbind.socket

그리고

$ sudo systemctl disable rpcbind
$ sudo systemctl disable rpcbind.socket

필요하지 않기 때문입니다 (AFAIK). 내 컴퓨터의 유일한 실제 서버 기능은 입니다 nfs4.2.

관련 정보