Поиск периодического соединения с помощью netstat

Да, еще известно, что эта транзакция молниеносная,

тогда tcpdump \ tshark \ wireshark \ ngrep в помощь. В общем, любой сниффер.

А, еще strace'ом можно отследить вызовы конкретного приложения.

Значит, netstat, насколько понял из советов, действительно не очень подходит для данной задачки?

О сниферах в курсе, но в потоке, который они вылавливают, наверное, мне будет еще труднее разобраться.

Ок, пощупаю еще strace, что оно такое. Спасибо!

О сниферах в курсе, но в потоке, который они вылавливают, наверное, мне будет еще труднее разобраться.

нуу, фильтры можно настроить.


еще идея, посылать в syslog все новые соединения от этого приложения. Для этого его надо или запустить от отдельного юзера, или поместить в cgroup. Тогда: iptables -j LOG.

У меня на Линуксе установлено приложение

Из этого я делаю 2 вывода(поправь если это не так):

1) ты знаешь имя бинарника запускаемого приложения;
2) ты знаешь пользователя, под которым оно запускается.

Если всё так, тогда для первого случая можно использовать strace, как уже посоветовали выше. Да, придется поплясать с фильтрами, но вариант вполне рабочий.

Для второго варианта - через критерий(-m) owner в iptables можно отсеять все исходящие пакеты приложений, запущенных из под определенного пользователя. А target(-j) LOG позволит записать эту активность. Как запустить только своё приложение от другого пользователя я думаю ты сам разберешься.

Update: тред не читай, сразу отвечай - iptables с нужными критериями(и даже более гибким вариантом через cgroup) уже посоветовали.

Если ты не знаешь, что это за приложение, то надо отследить, как оно попало на твою систему, и после этого закрыть дыру. Очевидно же.

Приложение вполне легальное, я его сам установил :-)
Поэтому знаю и бинарник, и пользователя, под которым оно запускается.

И у меня есть жгучее желание - перенаправить телеметрию, вернее, статистику, которую оно куда-то отсылает, на свой собственный сервер.
Который смогу соорудить (с чей-то помощью, конечно), если удастся разобраться, что и куда сейчас отсылается.


PS. Для наглядного примера: Фурифокс позволяет сделать синхронизацию юзерских аков через их сервер, а можно и свой такой сервер поднять.
Это только похожий пример, не более.

если непрерывно пялиться на экран с запущенным

netstat -a -b > ~/netstat.log

https://sourceware.org/systemtap/examples/#network/who_sent_it.stp