Pe un server Linux, un consum brusc de CPU sau RAM nu înseamnă automat un incident de securitate. Poate fi o indexare, un backup, o actualizare, o interogare grea în baza de date sau o aplicație care a intrat într-o buclă. Pentru cine lucrează în cybersecurity, diferența dintre o problemă operațională și un semn de compromitere se face prin investigație calmă, documentată și reproductibilă.
Primul pas este să stabilești dacă problema este reală și cât de gravă este. Comenzile top sau htop, acolo unde este instalat, arată rapid procesele care consumă cel mai mult CPU sau memorie. Nu te uita doar la primul proces din listă. Notează ora, load average, procentul de CPU, memoria rezidentă și utilizatorul sub care rulează procesul. Un proces legitim poate consuma mult, dar un proces necunoscut, pornit de un utilizator nepotrivit sau aflat într-o locație ciudată merită verificat mai atent.
Pentru o imagine mai curată, ps ajută la listarea proceselor cu PID, utilizator, comandă și consum. Într-o investigație defensivă, scopul nu este să „omori” imediat procesul, ci să înțelegi ce este. Verifică arborele de procese, serviciul care l-a pornit și dacă există mai multe instanțe similare. Pe serverele moderne cu systemd, systemctl status și journalctl pot arăta dacă procesul aparține unui serviciu cunoscut și ce erori au apărut înainte ca resursele să crească.
Memoria trebuie citită cu atenție. free arată memoria totală, folosită, disponibilă și zona swap. În Linux, memoria folosită pentru cache nu este neapărat o problemă; kernelul o poate elibera când aplicațiile au nevoie. Semnalul de risc apare când memoria disponibilă scade constant, swap-ul este folosit intens, iar aplicațiile devin lente. vmstat poate completa imaginea, pentru că arată procese blocate, activitatea de swap, I/O și CPU pe intervale succesive.
Dacă suspectezi o problemă de securitate, păstrează dovezile înainte de acțiuni agresive. Notează PID-urile, utilizatorii, calea executabilului, ora și comenzile rulate. Verifică logurile cu journalctl și, unde este relevant, mesajele kernelului cu dmesg. Caută reporniri repetate de servicii, erori de autentificare, procese lansate din directoare temporare sau comenzi care nu se potrivesc rolului serverului. Nu descărca „unelte miraculoase” de pe internet în timpul investigației și nu rula comenzi găsite întâmplător pe forumuri.
O verificare utilă este corelarea consumului cu schimbările recente. S-a făcut un deploy? S-a modificat o configurație? A fost pornit un job de backup, scanare antivirus, indexare sau raportare? În multe cazuri, consumul mare de resurse vine dintr-un cron job prost programat sau dintr-o aplicație care primește trafic peste normal. Dacă există monitorizare, compară momentul cu graficele de trafic, disc, rețea și erori HTTP.
Pentru procesele legate de servicii, systemd-cgtop poate fi util deoarece grupează consumul pe control groups, nu doar pe procese individuale. Asta ajută când o aplicație pornește mai mulți workers și fiecare pare modest separat, dar împreună consumă mult. În medii de producție, limitele de resurse la nivel de serviciu sau container pot preveni ca o singură aplicație să blocheze tot serverul.
Nu ignora nici discul și rețeaua. Un server care pare să aibă „problemă de CPU” poate aștepta, de fapt, după operațiuni de disc, iar unul care consumă multă memorie poate fi afectat de trafic neobișnuit sau de cozi de procesare. Instrumente precum iostat, ss sau logurile aplicației pot completa tabloul, dar principiul rămâne același: verifici doar ceea ce ai voie să administrezi și păstrezi investigația în zona defensivă.
Când cauza pare benignă, soluția poate fi optimizarea aplicației, reprogramarea joburilor sau ajustarea resurselor. Când apar indicii de compromitere, răspunsul trebuie escaladat: izolează serverul conform procedurilor interne, păstrează logurile, anunță echipa responsabilă și evită modificările care pot distruge urme. Pentru începătorii din Linux pentru Cyber, lecția principală este simplă: nu te grăbi să tragi concluzii. Măsoară, notează, corelează și abia apoi acționează.
