¿Quién está enviando archivos por sftp a mí? ¿Hay alguna forma de averiguarlo?

Un par de ideas:

¿Hay un nombre de usuario y contraseña SFTP común que todos usan para conectarse al servidor, o cada uno tiene su propio nombre de usuario? Si cada uno tiene su propio nombre de usuario, puedes ver el propietario de los archivos usando ls -l ruta/al/archivo.

Dado que SFTP se ejecuta sobre SSH, puedes verificar el registro de autenticación en /var/log/auth.log para ver quién inició sesión y cuándo. Podrías verificar la hora de creación en los archivos grandes y ver si puedes correlacionar las horas de creación/inicio de sesión. El archivo auth.log tiene la dirección IP y nombres de usuario de cada intento de inicio de sesión en la máquina. Una vez que tengas la dirección IP, podrías hacer una búsqueda DNS inversa (es decir, con dig @tun_servidordenombres -x ip_ofensiva +corto, o hacer cualquier otro reconocimiento de red que se te ocurra.

En cuanto a qué hacer una vez que descubras quién está ocupando todo el espacio, depende de quién esté usando tu servidor de archivos. Si es un servidor de archivos público, podría parecer razonable prohibir la dirección IP, pero si alguien tiene la intención de abusar de tu servicio, podría simplemente hacer un proxy a través de otra dirección IP y hacerlo todo de nuevo. Si es un servidor de archivos interno para tu organización, probablemente quieras hablar con el infractor, si puedes encontrarlo. Podría valer la pena redactar un conjunto de reglas simples para usar el servidor de archivos (es decir, no subir archivos grandes), y publicarlo en algún lugar donde la gente pueda verlo.

En general:

• Los archivos siempre tendrán detalles de propiedad, un nombre de usuario y grupo, buscar los cuales podría dar información sobre un usuario comercial real, un proceso comercial específico o un proceso de servidor responsable.
• La ubicación del archivo/el camino del directorio a menudo sugiere un servicio específico también. Es decir, Los archivos en /var/www sugieren un proceso del servidor web, un formulario de carga en línea o web DAV, etc.
• Además, la mayoría de los demonios (incluido sftp) registrarán eventos como la autenticación del usuario y/o las cargas en /var/log, lo que también puede permitirle determinar desde qué sistemas se originaron tales cargas.

Puedes usar systemtap para encontrar qué PID está creando el archivo. Aquí tienes cómo ver para borrar: https://serverfault.com/a/310477/30946 Para crear, necesitas observar las llamadas al sistema creat(2) y open(2).

El script de systemtap sería:

probe syscall.creat, syscall.open
{
    printf ("%s(%d) open (%s) userID(%d)\n", execname(), pid(), argstr, uid())
}