Montrer quel fichier distant écrit mon fichier

Vous pourriez faire

$ while true; do netstat -an | grep \:22 |  cut -b45-90 | grep -v \:22 | grep ESTABLISHED >> watch22.txt; sleep 5; done 

Ainsi, toutes les connexions du port 22 seront placées dans un fichier provenant de la boîte, qui deviendra rapidement très gros car il continuera à ajouter les mêmes connexions alors que rien ne se passe. Mais si vous l'exécutez pendant une durée assez longue, vous attraperez les coupables :

$ cat watch22.txt

146.148.41.2:44996      ESTABLISHED
10.2.1.25:52414         ESTABLISHED
146.148.41.2:44996      ESTABLISHED
10.1.1.25:52414         ESTABLISHED
146.148.41.2:44996      ESTABLISHED

Et vous pouvez filtrer cela assez facilement pour obtenir une liste d'adresses IP uniques :

$ cat watch22.txt | cut -d\: -f1 | sort -u
10.1.1.25
146.178.41.2

Je voudrais recommander l'utilitaire simple whowatch. Il vous montrera les utilisateurs connectés au système (sur lequel il est exécuté). A partir de là, vous pouvez sélectionner l'utilisateur (qui dira "sshd" si vous utilisez ssh) et tuer/interrompre le processus principal dans l'arbre (déconnecter la session) - mais cela nécessite root.

Avec whowatch cependant, vous pourrez facilement voir qui est connecté à qui et utilise quoi.