[NAGIOS] - Sonde netstat

[gruik]

- au minimum il doit falloir rajouter l'option -n à netstat pour éviter les résolutions DNS et que la sonde perde du temps
- "souspicious ip" owi sousse, sébon xD
- "Many connection", comme y'en a plusieurs disons "connections"
- selon le cas exclure 127.0.0.1 peut s'avérer utile peut-être ?
- le strip avant le splitlines ne sert à rien
- on peut éviter les pop() avec un slicing
- a la fin le else UNKNOWN_STATE sert à... rien ? ça peut pas arriver imo
- egalement le "if conn[2] > 0: sys.exit()" est dans la boucle for, c'est donc ce dont tu parlais dans ton post, mais effectivement c'est très maladroit x)
- on marque pas "warning" si le status est "critical" ^^
- STATE_UNKNOWN et STATE_DEPENDANT sont définis mais ne servent à rien

je te propose :

Code PYTHON :

#!/usr/bin/env python

import subprocess, sys

STATE_OK, STATE_WARNING, STATE_ALERT = range(3)

output = subprocess.Popen(['netstat','-tn'], stdout=subprocess.PIPE).communicate()[0]
lines = output.splitlines()[2:]

# pour chaque ligne de l'output netstat on garde uniquement l'IP remote
l1 = [i.strip().split()[4].split(':')[0] for i in lines]

# on recupere une liste de tuples (ip, nb d'occurences), on tient pas compte des '127.0.0.1'
l2 = [(i, l1.count(i)) for i in set(l1) if i != '127.0.0.1']

# on recupere le tuple avec le max d'occurences
ip, nb = max(l2, key=lambda i: i[1])

# et on fait nos tests
if nb > 20:
        print 'ALERT: suspicious IP. %s: %d connections' % (ip,nb)
        sys.exit(STATE_ALERT)
elif nb > 10:
        print 'WARNING: many connections for ip %s: %d connections' % (ip,nb)
        sys.exit(STATE_WARNING)
# sinon :
sys.exit(STATE_OK)

sinon la version awk sur une ligne bien dégueu, as usual :

Code AWK :

netstat -tn | awk -F'[ \t:]+' '{tab[$6]++} END {ret=0;for(i in tab){if(tab[i]>10){s="WARNING";n=1};if(tab[i]>20){s="ALERT";n=2};if(tab[i]>10){printf("%s %s: %s connections\n",s,i,tab[i])}};exit(n)}'