Monitor incoming traffic per process/user

[QuarK]

Ik wil op een linux machine al het verkeer nauwkeuriger gaan monitoren.
Dus inkomend en uitgaand TCP en UDP verkeer loggen per proces en/of per user.

Dit verkeer monitoren en loggen heb ik opgesplitst in de volgende onderdelen:

Uitgaand verkeer
Dmv. iptables OUTPUT chain met uid-owner matching. Werkt prima.

Inkomend verkeer, services
Dmv. iptables INPUT chain, de listening ports ingevoerd. Werkt ook acceptabel.

Inkomend verkeer, user generated
Dit is het onderdeel wat mij hoofdpijn oplevert. Een shell user die lekker aan het wgetten, ftp'en, torrenten is (dus connecties aangaat met random-picked lokale poorten) is erg lastig om precies te monitoren.
Iptables heeft geen informatie op INPUT mbt. de user/pid info. Ik zou verder alleen netstat weten die per connectie weet welke user (en proces) de lokale eigenaar is.

* Heeft iemand een idee wat de beste manier is om dit verkeer te monitoren?
* Zijn en andere manieren dan aan deze data komen naast netstat?
* Zo niet, wat zou de beste manier zijn om deze data te gebruiken? Elke paar seconden netstat gegevens uitlezen en combineren is niet echt efficient.

(Disclaimer: Ik heb gezocht naar bestaande oplossingen, maar geen enkele acceptabele of werkende methode gevonden.)

[QuarK]

*bump*

Heeft niemand een idee?

[Arioch]

Interessante topic.
Heb namelijk hetzelfde probleem, maar nog steeds geen oplossing gevonden.

[daft_dutch]

atop?

http://www.atcomputing.nl/Tools/atop/

# Disk and network activity per process
In combination with optional kernel patches it shows process-level counters concerning disk I/O and network activity.

[LuckY]

Ik zit hier ook naar te kijken .. PFSENSE moet het kunnen wat jij wilt denk ik.
Kijk eens naar Netwerkmonitoringsoftware
Ik zoek precies zoiets .
Ik wil het dan gaan meten door de port van de switch naar de firewall te Mirroren en die dan uit te lezen.
Volgens mij moet het ook met UDP werken