Primeira análise de um processo com comportamento anômalo usando strace e tcpdump

Objetivo

Responder em poucos minutos, sem alterar código, duas perguntas sobre um processo que trava ou falha: pelo que ele está esperando e se o par na rede está respondendo.

Pré-requisitos

Acesso root, ou CAP_SYS_PTRACE para o strace e CAP_NET_RAW para o tcpdump. O módulo Yama do kernel (kernel.yama.ptrace_scope, documentado na página citada) restringe o attach a processos sem relação de parentesco quando o valor é 1 ou maior; por isso, um attach sem privilégios pode falhar até mesmo em um processo seu. Também é preciso ter uma noção aproximada do ID do processo e da porta envolvida.

Passos

1. Obtenha o PID e o estado atual do processo: ps -o pid,stat,wchan:32,cmd -p PID. O estado D, ou um wchan com o nome de uma função de rede, já reduz o campo de busca.
2. Faça um attach breve: timeout 20 strace -f -p PID -T -e trace=%network,%file -o /tmp/trace.txt (-f / --follow-forks acompanha threads e processos filhos, -T mostra o tempo gasto em cada chamada, %network e %file selecionam grupos de chamadas). Um processo bloqueado em read, recvfrom ou futex durante toda a janela está esperando, não trabalhando.
3. Leia no arquivo as últimas chamadas concluídas antes do bloqueio: qual descritor, qual endereço (connect mostra o par remoto), qual caminho. Relacione os descritores com ls -l /proc/PID/fd.
4. Capture o tráfego correspondente com um filtro restrito e um limite: tcpdump -ni any -c 200 -w /tmp/cap.pcap 'host 203.0.113.5 and port 5432'. -n evita consultas DNS, -c interrompe após 200 pacotes, -w grava os pacotes brutos (o snaplen padrão de 262144 bytes mantém os pacotes inteiros).
5. Inspecione com tcpdump -nr /tmp/cap.pcap ou com um analisador gráfico. Procure SYNs repetidos sem SYN-ACK (nada escutando ou tráfego filtrado), retransmissões (perda de pacotes), RST (o par recusou ou reiniciou a conexão) ou uma requisição sem resposta dentro do timeout da aplicação.
6. Encerre as duas ferramentas, anote a conclusão e só então considere ferramentas mais profundas (perf, profilers de aplicação, capturas mais longas com -C e -W para rotação de arquivos).

Resultado esperado

Um diagnóstico de uma linha, do tipo "bloqueado em recvfrom na conexão com X; X nunca envia resposta" ou "a requisição nunca sai do host", que indica o próximo componente a inspecionar.

Limites e base de verificação

O strace(1) informa que um processo rastreado roda mais devagar do que um não rastreado; não o deixe anexado a um caminho crítico em produção. A mitigação do manual, --seccomp-bpf, só funciona quando o próprio strace inicia o comando com -f; ela não se aplica a um processo anexado com -p, de modo que a janela de attach e detach descrita acima é o único limite disponível. As capturas contêm payloads e segredos; trate os arquivos pcap como sensíveis e apague-os. O tráfego TLS mostra apenas o handshake e os tamanhos. As opções das ferramentas vêm dos manuais citados; não se afirma nenhum valor de tempo ou de overhead.