Monitoring serveur : ce que le CPU, la RAM et le disque révèlent d'une intrusion
On surveille habituellement le CPU, la mémoire et le disque pour éviter les pannes. Ces mêmes indicateurs sont aussi l'un des moyens les plus fiables de repérer une intrusion, y compris celles qu'un antivirus ne détecte pas.
Le cas le plus fréquent : le mineur de cryptomonnaie
Une fois entré, un attaquant cherche souvent à rentabiliser votre serveur. Le moyen le plus simple est d'y installer un mineur de cryptomonnaie. Les signes :
- CPU durablement élevé, souvent proche de 100 % sur tous les cœurs, y compris la nuit ;
- un processus au nom anodin (
kworker,systemd-helper, une suite de caractères aléatoires) lancé depuis/tmp,/dev/shmou un répertoire caché ; - des connexions sortantes permanentes vers des ports inhabituels ;
- une tâche planifiée qui relance le processus s'il est tué.
Un mineur récent n'est pas forcément connu des bases de signatures. En revanche, sa consommation de CPU, elle, est impossible à cacher.
Les signaux à suivre
| Indicateur | Ce qui doit alerter | Cause possible |
|---|---|---|
| CPU | Plateau élevé inhabituel, surtout hors des heures d'activité | Mineur, boucle applicative, attaque |
| Mémoire | Croissance continue jusqu'à l'arrêt de processus par le noyau (OOM) | Fuite mémoire, processus malveillant |
| Disque | Remplissage brutal | Journaux qui explosent sous attaque, exfiltration préparée, sauvegarde bloquée |
| Processus | Nom inconnu dans le top CPU ou mémoire | Malware, outil installé par un tiers |
| Services | Service critique arrêté ou en échec | Crash, sabotage, mise à jour ratée |
| Ports | Nouveau port en écoute | Porte dérobée, service exposé par erreur |
Établir une référence
Un indicateur n'a de sens que comparé à la normale. Notez pour chaque serveur :
- la charge CPU habituelle en journée et la nuit ;
- les 5 processus qui consomment le plus de CPU et de mémoire en temps normal ;
- les ports en écoute attendus ;
- le taux de remplissage du disque et sa progression hebdomadaire.
Une anomalie, c'est un écart par rapport à cette référence. Comparer chaque jour à la veille est souvent suffisant pour détecter ce qui change.
Quelques commandes utiles
Processus les plus gourmands :
ps -eo pid,user,%cpu,%mem,comm --sort=-%cpu | headPorts en écoute et processus associés :
sudo ss -tlnpServices en échec :
systemctl --failedArrêts de processus par manque de mémoire :
sudo journalctl -k --since "24 hours ago" | grep -i "out of memory"Que faire en cas d'anomalie ?
- Identifiez le processus : chemin de l'exécutable (
ls -l /proc/PID/exe), utilisateur, date de lancement. - Ne le tuez pas tout de suite si vous suspectez une intrusion : notez ses connexions (
ss -tp) et cherchez son mécanisme de relance (crontab, service systemd). - Cherchez la porte d'entrée : connexions SSH réussies récentes, application vulnérable, fichier uploadé.
- Remettez en état depuis une source saine et changez les secrets exposés.
Questions fréquentes
Un pic de CPU signifie-t-il une attaque ?
Non, la plupart des pics sont légitimes : déploiement, tâche planifiée, trafic. C'est un plateau inexpliqué, surtout la nuit, qui doit alerter.
Faut-il un outil de monitoring dédié ?
Les outils de monitoring classiques montrent des courbes. Ce qui manque souvent, c'est l'interprétation : savoir si un processus est normal et si l'évolution est inquiétante.
FondateurMode relève chaque jour CPU, mémoire, disque, processus et services, compare avec la veille, et l'IA vous explique ce qui est normal et ce qui ne l'est pas. Essayez-le 14 jours gratuitement.