Sintomas
Problemas de acesso ao serviço: o tempo de resposta aumenta significativamente, causando timeouts de requisição ou indisponibilidade.
Métricas de monitoramento elevadas: no console do ECS ou no CloudMonitor, o uso da largura de banda de saída para a Internet da instância excede consistentemente 80% e se aproxima ou atinge o limite. Também pode haver um aumento repentino no número de conexões de rede.
Alertas de monitoramento: recebimento de SMS ou e-mail notificando que o uso da largura de banda de rede excedeu o limiar de alerta configurado.
Causas
Processos anômalos ou programas maliciosos: a instância está infectada com mineradores de criptomoedas ou Trojans, ou atua como bot em um ataque DDoS. Esses programas geram grande volume de tráfego de rede anômalo.
Ataques de rede: as portas públicas da instância são alvo de tentativas de acesso malicioso, como ataques CC na camada de aplicação, ataques DDoS ou força bruta. Tais ataques podem saturar a largura de banda de entrada com requisições inválidas.
Capacidade de rede insuficiente: com o crescimento do negócio, a largura de banda configurada já não suporta o tráfego normal do serviço, criando um gargalo de desempenho.
Solução
Primeiro, use a ferramenta sar para localizar a interface de rede com tráfego anômalo. Em seguida, analise o tráfego da NIC com a ferramenta iftop para identificar o endereço IP remoto que consome a largura de banda, ou utilize a ferramenta nethogs para encontrar o processo com alto tráfego. Por fim, tome as medidas apropriadas conforme a natureza do processo e do endereço IP.
Etapa 1: Localizar a NIC com alto tráfego
Utilize a ferramenta sar para identificar a NIC com alto tráfego e definir o alvo da solução de problemas.
-
Faça login em uma instância ECS via conexão VNC.
Acesse ECS console - Instances. No canto superior esquerdo, selecione a região e o grupo de recursos da instância de destino.
Abra a página de detalhes da instância. Clique em Connect e selecione VNC. Insira suas credenciais para fazer login na instância ECS.
-
Colete estatísticas das interfaces de rede.
# -n DEV: Reports network device statistics # 1 5: Samples every 1 second for a total of 5 times sudo sar -n DEV 1 5 -
Identifique a NIC com alto tráfego.
Verifique o valor
AveragedetxkB/s(largura de banda média de saída). Compare os valores para encontrar aIFACE(nome da NIC) com o maior valor.rxkB/srepresenta a taxa média de largura de banda de entrada.Linux 5.10.134-19.1.al8.x86_64 (iZbp1e5xxx) 11/14/2025 _x86_64_ (2 CPU) 04:11:13 PM IFACE rxpck/s txpck/s rxkB/s txkB/s rxcmp/s txcmp/s rxmcst/s %ifutil 04:11:14 PM lo 0.00 0.00 0.00 0.00 0.00 0.00 0.00 0.00 04:11:14 PM eth0 317.00 580.00 21.36 933.00 0.00 0.00 0.00 0.00 04:11:14 PM eth1 0.00 0.00 0.00 0.00 0.00 0.00 0.00 0.00 04:11:14 PM IFACE rxpck/s txpck/s rxkB/s txkB/s rxcmp/s txcmp/s rxmcst/s %ifutil 04:11:15 PM lo 0.00 0.00 0.00 0.00 0.00 0.00 0.00 0.00 04:11:15 PM eth0 328.00 582.00 22.34 943.08 0.00 0.00 0.00 0.00 04:11:15 PM eth1 0.00 0.00 0.00 0.00 0.00 0.00 0.00 0.00 04:11:15 PM IFACE rxpck/s txpck/s rxkB/s txkB/s rxcmp/s txcmp/s rxmcst/s %ifutil 04:11:16 PM lo 0.00 0.00 0.00 0.00 0.00 0.00 0.00 0.00 04:11:16 PM eth0 352.00 595.00 24.08 935.58 0.00 0.00 0.00 0.00 04:11:16 PM eth1 1.00 1.00 0.04 0.04 0.00 0.00 0.00 0.00 04:11:16 PM IFACE rxpck/s txpck/s rxkB/s txkB/s rxcmp/s txcmp/s rxmcst/s %ifutil 04:11:17 PM lo 0.00 0.00 0.00 0.00 0.00 0.00 0.00 0.00 04:11:17 PM eth0 347.00 581.00 23.58 943.02 0.00 0.00 0.00 0.00 04:11:17 PM eth1 0.00 0.00 0.00 0.00 0.00 0.00 0.00 0.00 04:11:17 PM IFACE rxpck/s txpck/s rxkB/s txkB/s rxcmp/s txcmp/s rxmcst/s %ifutil 04:11:18 PM lo 0.00 0.00 0.00 0.00 0.00 0.00 0.00 0.00 04:11:18 PM eth0 367.00 623.00 24.98 952.79 0.00 0.00 0.00 0.00 04:11:18 PM eth1 0.00 0.00 0.00 0.00 0.00 0.00 0.00 0.00 Average: IFACE rxpck/s txpck/s rxkB/s txkB/s rxcmp/s txcmp/s rxmcst/s %ifutil Average: lo 0.00 0.00 0.00 0.00 0.00 0.00 0.00 0.00 Average: eth0 342.20 592.20 23.27 941.49 0.00 0.00 0.00 0.00 Average: eth1 0.20 0.20 0.01 0.01 0.00 0.00 0.00 0.00Neste exemplo, a NIC
eth0apresenta o maior valor detxkB/s. Portanto,eth0é a NIC com alto tráfego.
Etapa 2: Analisar e resolver o problema de alto tráfego
-
Analise o tráfego na NIC.
-
iftop: monitora o tráfego da NIC por conexão. Identifica os endereços IP e portas que mais geram tráfego com a instância.Para serviços web, use o
iftoppara localizar endereços IP com alto tráfego e combine-o com ferramentas como ologwatchpara analisar logs da web e determinar se o tráfego é legítimo. nethogs: monitora o tráfego da NIC por processo. Identifica qual processo consome mais largura de banda.
iftop
-
Instale a ferramenta
iftop.-
Para Alibaba Cloud Linux e CentOS:
sudo yum install -y iftop -
Para Ubuntu e Debian:
sudo apt update sudo apt install -y iftop
-
-
Monitore a NIC com alto tráfego.
Substitua
<IFACE>pelo nome da NIC identificada na Etapa 1.# -i <IFACE>: Specifies the NIC to monitor. # -P: Displays port numbers. sudo iftop -i <IFACE> -PPor exemplo, se a NIC com alto tráfego for
eth0, executesudo iftop -i eth0 -P. -
Analise o tráfego da NIC para encontrar o endereço IP remoto que consome a largura de banda.
19.1Mb 38.1Mb 57.2Mb 76.3Mb 95.4Mb iZbp1e5w04k4l xxx => 140.205.11 xxx 4.32Mb 3.17Mb 1.06Mb <= 62.9Kb 47.7Kb 15.1Kb iZbp1e5w04k4l xxx => 140.xxx 0b 164Kb 41.1Kb <= 0b 4.97Kb 1.30Kb iZbp1e5w04k4l xxx => 140.xxx 796Kb 159Kb 40.1Kb <= 15.5Kb 3.10Kb 804b iZbp1e5w04k4l xxx => 140.xxx 0b 89.9Kb 29.2Kb <= 0b 2.97Kb 882b iZbp1e5w04k4l xxx => 140.xxx 0b 83.9Kb 46.4Kb <= 0b 2.55Kb 1.25Kb iZbp1e5w04k4l xxx => 140.xxx 0b 78.9Kb 50.7Kb <= 0b 2.50Kb 1.52Kb iZbp1e5w04k4l xxx => 140.xxx 0b 71.0Kb 89.6Kb <= 0b 2.51Kb 2.85Kb iZbp1e5w04k4l xxx => 140.xxx 0b 66.1Kb 26.2Kb <= 0b 2.29Kb 822b iZbp1e5w04k4lv xxx => 140.xxx 0b 65.6Kb 16.4Kb <= 0b 1.62Kb 416b iZbp1e5w04k4l xxx => 140.xxx 0b 61.1Kb 23.2Kb <= 0b 1.77Kb 656b iZbp1e5w04k4l xxx => 140.xxx 0b 56.2Kb 55.6Kb <= 0b 1.53Kb 1.54Kb iZbp1e5w04k4lv xxx => 140.xxx 0b 52.1Kb 75.3Kb <= 0b 1.65Kb 2.40Kb iZbp1e5w04k4l xxx => 140.xxx 0b 52.0Kb 13.0Kb <= 0b 1.42Kb 363b ───────────────────────────────────────────────────────────────────────────────────────────────────── TX: cum: 80.9MB peak: 14.3Mb rates: 7.15Mb 6.52Mb 11.2Mb RX: 1.91MB 440Kb 146Kb 154Kb 276Kb TOTAL: 82.8MB 14.6Mb 7.30Mb 6.67Mb 11.4MbA saída exibe informações de tráfego em tempo real em ordem decrescente. O símbolo
=>indica a taxa de envio de dados da instância para um endereço IP remoto. Neste exemplo, a taxa média de tráfego de saída da instância para o IP140.205.11.xnos últimos 2 segundos é de4.32Mb/s. Pressione
qpara sair da interface doiftop.-
Visualize o processo correspondente à porta.
Substitua
<PEER_IP_ADDRESS>pelo endereço IP remoto obtido na etapa anterior.sudo netstat -antp | grep <PEER_IP_ADDRESS>O exemplo abaixo mostra uma saída típica.
tcp 0 172.16.0.xxx xxx 140.205.11.xxx xxx ESTABLISHED 2282/nginx: worker tcp 0 172.16.0.xxx xxx 140.205.11.xxx xxx ESTABLISHED 2282/nginx: worker tcp 0 172.16.0.xxx xxx 140.205.11.xxx xxx ESTABLISHED 2282/nginx: worker tcp 0 172.16.0.xxx xxx 140.205.11.xxx xxx ESTABLISHED 2282/nginx: worker tcp 0 172.16.0.xxx xxx 140.205.11.xxx xxx ESTABLISHED 2282/nginx: worker tcp 0 172.16.0.xxx xxx 140.205.11.xxx xxx ESTABLISHED 2282/nginx: workerNeste exemplo, o endereço IP local é
172.16.0.x, o IP remoto é140.205.11.x, o processo correspondente énginx: workere o PID é2282.
nethogs
Exemplo
-
Instale a ferramenta nethogs.
-
Para Alibaba Cloud Linux e CentOS:
sudo yum install -y nethogs -
Para Ubuntu e Debian:
sudo apt update sudo apt install -y nethogs
-
-
Monitore a NIC com alto tráfego.
Substitua
<IFACE>pelo nome da NIC identificada na Etapa 1.# The default monitoring interval is 1 second. You can use -d to specify the monitoring interval. sudo nethogs <IFACE>Por exemplo, se a NIC com alto tráfego for
eth0, executesudo nethogs eth0. -
Analise o tráfego da NIC.
NetHogs version 0.8.5 PID USER PROGRAM DEV SENT RECEIVED 2282 nginx nginx: worker process 696.898 19.289 KB/sec 15823 root sshd: root@pts/3 0.773 0.231 KB/sec ? root 172.16.xxx.54.137:80 0.000 0.000 KB/sec ? root 172.16.xxx.26.209:80 0.000 0.000 KB/sec ? root 172.16.xxx.45.106:80 0.000 0.000 KB/sec ? root 172.16.xxx.4.191:80 0.000 0.000 KB/sec ? root 172.16.xxx.154.78:80 0.000 0.000 KB/sec 1749 root /usr/local/cloudmonitor/bin/argusagent 0.000 0.000 KB/sec ? root 172.16.xxx.54.135:80 0.000 0.000 KB/sec ? root 172.16.xxx.26.207:80 0.000 0.000 KB/sec ? root 172.16.xxx.4.217:80 0.000 0.000 KB/sec ? root 172.16.xxx.89.115:80 0.000 0.000 KB/sec 6215 root /opt/aliyun-security/ilogtail/ilogtail-aliyun-security 0.000 0.000 KB/sec ? root 172.16.xxx.154.78:80 0.000 0.000 KB/sec ? root 172.16.xxx.83.69:80 0.000 0.000 KB/sec ? root 172.16.xxx.54.132:80 0.000 0.000 KB/sec ? root 172.16.xxx.26.210:80 0.000 0.000 KB/sec ? root 172.16.xxx.4.217:80 0.000 0.000 KB/sec ? root 172.16.xxx.89.113:80 0.000 0.000 KB/sec ? root 172.16.xxx.154.78:80 0.000 0.000 KB/sec 1806 root /usr/local/aegis/aegis_client/aegis_12_61/AliYunDun 0.000 0.000 KB/sec 2810 root /usr/local/aegis/alihips/AliHips 0.000 0.000 KB/sec 6172 root /opt/aliyun-security/rapt-daemon/rapt-daemon 0.000 0.000 KB/sec ? root unknown TCP 0.000 0.000 KB/secA coluna
SENTmostra a taxa de envio de dados da instância para o destinatário (IP remoto). Neste exemplo, o processo que mais consome tráfego é onginx: worker process, com taxa de saída de cerca de 696 KB/s e PID2282. Pressioneqpara sair da interface da ferramenta.
-
-
Escolha uma solução com base no processo ou endereço IP remoto identificado.
-
Se o processo identificado (como ferramentas de download tipo
wgetoucurl, ou programas desconhecidos) apresentar comportamento suspeito ou comunicar-se com um IP remoto malicioso:-
Encerre o processo anômalo: execute o comando
sudo kill -15 <PID>. Substitua<PID>pelo PID do processo com alto tráfego.ImportanteAntes de encerrar um processo, certifique-se de que ele não seja crítico para o negócio, evitando interrupções no serviço.
Bloqueie o endereço IP malicioso: utilize regras de grupo de segurança para bloquear IPs maliciosos conhecidos. Em caso de ataque CC na camada de aplicação com IPs de origem distribuídos, as regras de grupo de segurança têm menor eficácia. Nesse cenário, recomenda-se implantar um web application firewall (WAF) para proteção especializada. Para mais informações, consulte Adicionar uma instância ECS ao WAF para defesa contra ataques CC.
Verifique e remova programas maliciosos: ative a detecção e remoção de vírus no Security Center para executar uma varredura completa na instância e remover ameaças detectadas.
Responda a ataques DDoS frequentes: durante ataques DDoS ou CC de alta frequência, o pico de tráfego pode exceder o limiar de blackhole do Anti-DDoS Origin, levando o serviço em nuvem ao estado de blackhole e tornando-o inacessível. Nessa situação, ative o Anti-DDoS Pro e Anti-DDoS Premium para garantir a disponibilidade do serviço.
-
-
Caso um processo legítimo gere o alto tráfego, provavelmente trata-se de demanda normal do negócio:
Aumente a largura de banda: a capacidade de rede atual da instância tornou-se um gargalo. Aumente a largura de banda da instância.
Otimize a aplicação: revise o código em busca de otimizações, como redução de transferências desnecessárias, adição de cache ou compactação de dados.
Limite a taxa de tráfego: se o serviço permitir, utilize ferramentas como
iptablespara limitar a taxa de tráfego de IPs ou portas específicas. Isso impede que um único usuário ou serviço consuma toda a largura de banda disponível.
Se nenhum processo consumir largura de banda anormal, mas o uso geral permanecer alto, o tráfego total do serviço provavelmente excedeu a capacidade de rede da instância. Nesse caso, aumente a largura de banda da instância.
-
Próximas etapas
Recomenda-se coletar métricas do sistema periodicamente para análise contínua. Para mais informações, consulte Usar a ferramenta atop para monitorar métricas do sistema Linux.
Configure o monitoramento e alertas da instância para receber notificações sobre riscos e anomalias futuras.