VPS上のCentOS7の、転送量増加の原因を特定する方法

Question

お世話になります、いろいろ調べてみましたがどうにもわからず、お助けいただけると幸いです。

###前提・実現したいこと
VPS上に構築したCentOS7サーバの「転送量」が、１週間ほど前から特定の時間に跳ね上がるようになり、原因を特定したい。

###発生している問題・エラーメッセージ
VPSのコントロールパネルからリソースモニタを見たところ「転送量」が毎日特定の時間帯にGiB単位で増える現象が数日間続いています。
※サポートに聞いたところ、「転送量」＝サーバーに対するデータ送受信の合計値 とのことで、何らかのプロトコルでデータのやりとりが発生しているのではないか、とのことでした。
コントロールパネルは１時間単位でしか表示されないため、厳密な発生時間は特定できていません。

サービス会社ではVPSの利用状況調査はしていないということで自力調査中ですが、行き詰まってしまいました。
どの辺りを調べたらわかる可能性があるか、ご教示いただけませんでしょうか。

###試したこと

• logwatchで接続監視しているが、不審なSSHログインは見当たらない。
• サーバの/var/log/audit/audit.log、/var/log/message、/var/log/secureの該当時間付近のログを見ても、不審なSSHログイン、SFTPログインは見当たらない。（FTPは利用不可）
• サーバのコントロールパネルの、tx,rxの値が該当時間は低い（サービスの特性上アクセス時間の偏りがあり、該当時間には通常ほとんどアクセスがありません）。
• maillogを見ても、監視用に飛ばしているメール以外不審な履歴はない。
• ClamAVをインストールして定義更新、日次スキャンしているが、検出はない。
• 該当時間に独自で設定しているcronはなく、cronログや設定をみても不審なものはない。
• 該当時間に誰もサーバ作業を行っていないことは確認済みです。

###補足情報(言語/FW/ツール等のバージョンなど)

• CentOS Linux release 7.2.1511
• LAMP環境のwebサーバとして利用しています。
• VPSのコントロールパネル設定で、SSHポート、webポート以外は接続不可。
• yum updateを自動実行するような設定にはしていません。

以上、よろしくお願いします。

Answer 1

nethogsでプロセスを特定してみてはいかがでしょうか。
EPELリポジトリにあったはずです。

Comments

[shiina]

ご教示ありがとうございます。
ローカルのvm上centosで試しにいれてみましたが、なかなか見やすいですね。
ただリアルタイムで監視しないとならないので（実は深夜なので。。）余力があれば見てみるようにします。

Answer 2

ある程度発生時間帯が絞れているなら、当該時間帯にtcpdumpを流してみるのはどうでしょうか？
パケットをHDDに保存しなくても、テキスト出力を手元に残しておけば通信相手のIPアドレスやポート番号は分かるはずです。

Comments

[shiina]

ご教示ありがとうございます。
ファイルにも出せるのがいいかんじですね。（実は深夜なので仕掛けておこうと思います）

ひとまず、リアルタイムで監視しなくても残せるのが良いと思ったので、こちらにベストアンサーをつけさせていただこうと思います。

[ynakano]

パケットのファイル保存は後で色々と取り回しがきくので良いのですが、ディスク容量を食うかもしれないのでその点だけ注意してください。

Answer 3

※サポートに聞いたところ、「転送量」＝サーバーに対するデータ送受信の合計値 とのことで、何らかのプロトコルでデータのやりとりが発生しているのではないか、とのことでした。

VPSのコントロールパネル設定で、SSHポート、webポート以外は接続不可。

Webサービスを提供しているのでしょうか?
であれば、Webサービスに関わる通信も対象のような気がします。

httpd.logなど確認して統計を取ってみては如何でしょうか?

Comments

[shiina]

ご教示ありがとうございます。
書き漏れましたが、httpdの、http/httpsともログを確認して該当時間に疑わしいアクセスは見受けられませんでした。
前後ももう一度見直してみようと思います。