Por que meu servidor solicitou repetidamente o arquivo packages.bz2 de um espelho por 24 horas?

Question

Um de nossos servidores acabou usando cerca de 20 GB de dados ontem porque solicitou repetidamente o arquivo packages.bz2 de um espelho.

Os pedidos começaram às 22:00 da noite de domingo e pararam às 21:00 da segunda-feira.

Não há nada no histórico do apt, nos upgrades autônomos ou no log do sistema para indicar o motivo.

Tudo o que posso ver é um monte de tráfego bloqueado no log UFW do endereço IP do espelho - não há regras para bloquear esse IP na configuração do UFW, a comunicação com o espelho é bem-sucedida fora desse período de atividade incomum. parece proteção contra inundação (embora eu tenha passado pela configuração do UFW e não tenha conseguido encontrar isso explicitamente).

/var/log/apt/term.log e /var/log/apt/term.log não têm entradas depois das 6:45 da última sexta-feira (2 dias inteiros antes do início do evento).

/var/log/aptitude está vazio desde a sua criação há mais de um ano.

auth.log mostra a atividade normal do cron para um servidor Ubuntu - e não muito além dos meus logins e uso de sudo ao tentar diagnosticar os problemas de lá.

Não há nada no cron.d chamado apt ou aptitude - e o cron.daily possui a mesma coleção de scripts que outros servidores que não estão se comportando mal.

Eu falei com o administrador do sistema para o espelho - ele foi muito útil. Foi assim que descobri que meu servidor estava solicitando o arquivo packages.bz2 repetidamente. Ele diz que cada pedido foi cumprido e fechado corretamente.

Então - o que poderia ter acontecido para iniciar este processo? Por que continuaria por tanto tempo, e por que simplesmente parou?

E uma semana depois, começou de novo - ainda nada nos registros para indicar o motivo.

    

Answer 1

apt-get update não está registrado nos registros do APT.

Para mim, parece que o servidor não recebeu o arquivo ou era inválido. Outra possibilidade é um script de cron estranho.

Agora a razão é um pouco mais interessante. Qualquer um

1. Talvez haja um cron para executar apt-get update
2. Alguém (outro administrador e / ou hacker) estava enviando spam apt-get update

Por que seria executado 23 horas ... Talvez uma entrada do cron ruim?

Além disso, não é realmente um especialista em UFW / bloqueio.

Pessoalmente, eu verificaria o cron e auth.log como sugerido pelo @Braiam.

    

Answer 2

Para mim, isso soa como um loop de scripts.

O sistema está configurado para atualizar seu software aos domingos por volta das 22:00?

Você tem algum tipo de script sendo executado para atualizá-lo sem comparecimento?