Um festzustellen ob der eigene Server gerade angegriffen wird kann man folgende Befehle nutzen:

netstat -anp |grep ‚tcp\|udp‘ | awk ‚{print $5}‘ | cut -d: -f1 | sort | uniq -c | sort –n

Dieser Befehl zeigt eine List mit verbunden IP Adresse sortiert nach der Anzahl der Verbindungen an.

Ein größerer DDoS Angriff nutzt jedoch unzählige Server die dann jeweils nur wenige Verbindungen aufbauen.

Dieser Befehl zählt die Anzahl der Verbindungen auf einen bestimmten Port (im Beispiel Port 80):

netstat -n | grep :80 |wc –l