[NAGIOS] - Sonde netstat

[Junky]

Bonjour,

Alors voici un bout de code pour Nagios (ou tout autres choses d'ailleurs). Le but est de checker le nombre de connexion par IP.

Ce n'est pas une sonde ultime, mais elle peut remonter direct des tentatives de connections douteuses style ssh.

Je vais l'améliorer par la suite afin qu'elle me remonte un excés de STATE: SYN_ACK.

Voici le code:

Code PYTHON :


#!/usr/bin/env python

import subprocess, sys

STATE_OK=0
STATE_WARNING=1
STATE_CRITICAL=2
STATE_UNKNOWN=3
STATE_DEPENDENT=4

#exec du netstat
output = subprocess.Popen(
    ['netstat','-t'],
     stdout=subprocess.PIPE).communicate()[0]

#On recupere la sortie
lines = output.strip().splitlines()

#on vire les 2 premiere lignes du netstat
#   Active Internet connections (w/o servers)
#   Proto Recv-Q Send-Q Local Address           Foreign Address         State      
lines.pop(0)
lines.pop(0)

#Liste qui va contenir nos ip
ip_list = []


#On ajoute nos ip (unique) a notre liste
for line in lines:
    line = line.strip().split()
    ip = str(line).split()[4].split(":")[0][1:] # [1:] c'est pour virer le premier char qui est un '
    if ip  not in ip_list:
        ip_list.append(ip)


#declaration d'un tableau 2 dim en fonction du nombre d'ip (unique)
# tab [0][0] = ip
# tab [0][1] = nb de connection pour l'ip
# tab [0][2] = state return Nagios (0, 1, 2, 3, 4)
tab = [[0 for x in xrange(3)] for x in xrange(len(ip_list))]
i = 0

for ip in ip_list:
    tab[i][0] = ip
    i+=1


#On check le nombre de connections de l'ip
for ip in tab:
    for line in lines:
        if ip[0] == str(line).split()[4].split(":")[0]:
            ip[1] += 1

#Check nombre de connection par IP
for conn in tab:
    if conn[1] < 10:
        conn[2] = STATE_OK
    elif (conn[1] >= 10) and (conn[1] < 20):
        print "Many connection for ip %s: %s connection" % (conn[0], conn[1])
        conn[2] = STATE_WARNING
    elif conn[1] >= 20:
        print "WARNING souspicious ip. %s: %s connection" % (conn[0], conn[1])
        conn[2] = STATE_CRITICAL
    else:
        print "UNLNOWN STATE"
        conn[2] = STATE_UNKNOWN

    # On alerte si le state est different de 0
    if conn[2] > 0:
        sys.exit(conn[2])





 

Les conditions sont restreintes mais c'est pour les tests.
Certains me diront surement:
"Euh en faite elle ne remonte qu'une seul IP puis que tu 'sys.exit() si le state est != de 0. DOnc si dans ta liste il y en a d'autre Nagios ne t'averti pas... "
Je répondrai:
"Bah c'est une de trop donc si j'ai cette erreur je vais desuite investiguer donc je verrai de suite si y'en a d'autre.. "

N'étant pas un grand codeur, je suis totalement preneur d'une optimisation quelconque.

Junky,

[thxer]

Le top ça serait de rajouter une ptit include(); dans le header de nagios et que ton script génère un page_result.php au moins on aurait l'alerte sur la page d'accueil de nagios.

Genre :

If true() :
echo "<script> alert("x tentatives") </script>" ;
else :

echo "<!-- veille en cours -->"

Sinon sympa.

[gruik]

- au minimum il doit falloir rajouter l'option -n à netstat pour éviter les résolutions DNS et que la sonde perde du temps
- "souspicious ip" owi sousse, sébon xD
- "Many connection", comme y'en a plusieurs disons "connections"
- selon le cas exclure 127.0.0.1 peut s'avérer utile peut-être ?
- le strip avant le splitlines ne sert à rien
- on peut éviter les pop() avec un slicing
- a la fin le else UNKNOWN_STATE sert à... rien ? ça peut pas arriver imo
- egalement le "if conn[2] > 0: sys.exit()" est dans la boucle for, c'est donc ce dont tu parlais dans ton post, mais effectivement c'est très maladroit x)
- on marque pas "warning" si le status est "critical" ^^
- STATE_UNKNOWN et STATE_DEPENDANT sont définis mais ne servent à rien

je te propose :

Code PYTHON :

#!/usr/bin/env python

import subprocess, sys

STATE_OK, STATE_WARNING, STATE_ALERT = range(3)

output = subprocess.Popen(['netstat','-tn'], stdout=subprocess.PIPE).communicate()[0]
lines = output.splitlines()[2:]

# pour chaque ligne de l'output netstat on garde uniquement l'IP remote
l1 = [i.strip().split()[4].split(':')[0] for i in lines]

# on recupere une liste de tuples (ip, nb d'occurences), on tient pas compte des '127.0.0.1'
l2 = [(i, l1.count(i)) for i in set(l1) if i != '127.0.0.1']

# on recupere le tuple avec le max d'occurences
ip, nb = max(l2, key=lambda i: i[1])

# et on fait nos tests
if nb > 20:
        print 'ALERT: suspicious IP. %s: %d connections' % (ip,nb)
        sys.exit(STATE_ALERT)
elif nb > 10:
        print 'WARNING: many connections for ip %s: %d connections' % (ip,nb)
        sys.exit(STATE_WARNING)
# sinon :
sys.exit(STATE_OK)

sinon la version awk sur une ligne bien dégueu, as usual :

Code AWK :

netstat -tn | awk -F'[ \t:]+' '{tab[$6]++} END {ret=0;for(i in tab){if(tab[i]>10){s="WARNING";n=1};if(tab[i]>20){s="ALERT";n=2};if(tab[i]>10){printf("%s %s: %s connections\n",s,i,tab[i])}};exit(n)}'

[Junky]

Ouah merci pour ta réponse gruik. En 15 lignes, j'viens d'apprendre plein de choses.

Je vais voir pour modifier ma sonde en fonction de la tienne. Oui il ne faut pas faire du copy/paste et c'est mieux de comprendre que de copier.

En tt cas merci!!

PS: en effet ton awk et juste dégueu. Mais il fait le taf... `What Else?

[thxer]

Je trouve juste le awk énorme