И ещё вдогонку - как узнать, что это за 77 метров дерьма свалилось мне на винт?

К сожалению, боюсь, что установить какая программа израсходовалда эти мегабайты уже не представляется возможным. Необходимо тщательно изучить системные журналы - там может оказаться какач-нибудь подсказка, проверить, кто регистрировался в системе в этот период, запустить на всякий случай chrootkit и, если установлен, tripwire (не было ли изменения системных файлов). Для обеспечения безопасности в будущем помимо tripwire необходимо настроить iptables, отключить лишние сервисы или, по крайней мере, закрыть доступ к ним извне и обязательно установить любую IDS. Лично я использую snort.
Надеюсь следующие товарищи смогут дать более дельные советы.

Было ли сделано следующее (файрволл):

Всем соединениям извне к данной машине делается DROP. Нет -- сам себе злобный буратино (могли проломать любой сервис, от ssh до sendmail или устроить openproxy, если squid сконфигурирован неверно).

Хотя могли и тупыми пингами с большим размером пакета накидать. 77 метров -- легко. И защиты нет, поскольку дропай -- не дропай, а пакет киску провайдера прошел -- трафик есть.

> Что делать и как всё это выяснить?

Если вам накидали трафик пингами, то окромя как просить провайдера запретить на своем файрволле ЛЮБЫЕ (сегодня пинговали, завтра по-другому пакетиков накидают) коннекты к вам, никак. Чем плохо -- обломятся качалки типа kazaa, emule и т.п.

> Какие логи смотреть

Если не проломали, возможно, что читать практически все, что в /var/log. Начиная с предполагаемой даты "взлома".

В общем ситуация следующая:

Трафик шёл через восьмидесятый порт, с 12 до 3, приём-передача пакетов происходила с периодичностью ровно 2 минуты. Пакеты примерно одинакового размера - около 90707 байт. Осмотр /var/log ничего толком не дал. Многие логи просто пустые, как, например логи portsentry.

Похоже поломали... Только зачем? Просто ради западла - потратить чужой трафик, что-ли? Интересно кто - изнутри локалки, или извне?

если дропать все соединения к машине извне на файрволе провайдера, аська работать будет (пиринговыми качалками не пользуюсь)?

если запретить все коннекты извне, машина всё же остаётся уязвимой для атак изнутри локалки?

Могли ли остаться ещё какие-то записи о сетевой активности, кроме тех, что находятся в /var/log?

По мнению провайдера, не исключён вариант, что сработал автоапдейт какой-то проги, можно ли по каким-либо признакам исключить этот вариант?

Что ещё можно предпринять, что бы выяснить как можно больше обо всём этом?

Obidos правильно пишет. По умолчанию в ASPLinux 9.0 и RedHat 9.0 программа для настроек фаервола lokkit неправильно прописывает правила. Все порты остаются открытыми.

Поэтому лучше самому разобраться в iptables-howto и прописать правила ручками.

Еще вариант: большая страничка с автообновлением содержимого через 2 минуты и незакрытое окно бровзера :-).

Проблема с безопасностью, однако...

>Еще вариант: большая страничка с автообновлением содержимого через 2 минуты и незакрытое окно бровзера :-).

Не катит. В браузере никаких страниц, кроме стартовой провайдерской, не висело...

Выжрать твой траффик ценой размена 1-в-1 на свой можно практически всегда, от этого не защититься... Почти никак.

Проблема с безопасностью, однако...

>Выжрать твой траффик ценой размена 1-в-1 на свой можно практически всегда, от этого не защититься... Почти никак.

А вот с этого места, если можно, поподробней.

А что тут пояснять? Будет тебе кто-нибудь слать абсолютно что угодно - ты это будешь отбрасывать, но по учётной системе ISP всё равно же пройдёт. Причём для посылающего это будет исходящий трафик, за который он, скорее всего, платить вообще не будет (если он платит по максимальному - входящий-то по любому у него будет больше), а для тебя входящий за который ты будешь платить по полной.
Отсюда мораль: не хочешь подобных проблем не бери себе реальный IP, а если уж такой возможности (взять ip из приватного адресного пространства) нет, то, по возможности, никому его не сообщай.

Проблема с безопасностью, однако...

В том-то и дело, что реального IP у меня нет и никогда не было... только локалькальный (тот, который "маскарадинговый" айпишник, присвоенный провайдером).

> если дропать все соединения к машине извне на файрволе провайдера, аська работать будет

Мои юзера не жалуются. ;-) Пересылка файлов не работает, естественно, но для этого существуют более другие средства.

> если запретить все коннекты извне, машина всё же остаётся уязвимой для атак изнутри локалки?

Что в данном случае вы понимаете под термином "Извне"? По-хорошему, машина должна DROP'ать вообще любые коннекты. Только данная машина имеет право инициировать соединения с кем бы то ни было. Тогда, правда, отвалится возможность "расшарить" какой-нибудь каталог.

> В том-то и дело, что реального IP у меня нет и никогда не было... только локалькальный (тот, который "маскарадинговый" айпишник, присвоенный провайдером).

Та-а-ак. Ваш вредитель (ТОЛЬКО в случае, если вы не схватили трояна) находится в вашей локальной сети "по одну сторону с вами" от провайдера. По поводу трояна -- идем вот сюда www.chkrootkit.org и качаем chkrootkit, читаем документацию, запускаем. Печально, однако, то, что даже ответ этой программы "все чисто" не является ГАРАНТИЕЙ чистоты. Радикальный метод -- переустановка системы с переформатированием разделов, после чего тщательно читаем документацию на iptables (есть и на русском, надо просто поискать).

Проблема с безопасностью, однако...

Спасибо, Obidos. Уже скачал исходники chrootkit. А iptables-howto и security how-to, а также исходники snort у меня уже есть.