Cum verific dacă serverul Linux este sub un atac DDoS?

Majoritatea atacurilor DDoS necesită conexiuni către server, deci pot fi detectate cu câteva comenzi.

Încărcarea serverului

uptime
grep -c ^processor /proc/cpuinfo

Într-un atac, load-ul este de 2-3 ori mai mare decât normal.

Conexiuni pe IP

ss -ntu | awk '{print $6}' | cut -d: -f1 | sort | uniq -c | sort -nr | head

(pe sisteme vechi, netstat -ntu). Normal: 1-50 conexiuni/IP; un IP cu sute/mii de conexiuni indică un posibil atac. Pentru trafic, folosește iftop, nload sau vnstat.