-Ein Überlebenshandbuch von Nils Meyer

Kapitel 1 - Was ist ein Zombie?

Als Zombie wird in der IT ein Prozess oder Dienst bezeichnet, der während seiner Laufzeit gestorben ist und als Untoter im Prozessmanager herumgeistert.

Im Normalfall verhält sich ein Untoter sehr passiv, verbraucht keine Ressourcen und wird in der Prozessliste aufgelistet.

 

Kapitel 2 - Ansteckungsgefahr!

Einige Programme wie z.B. nagios (Parent) lassen Unteraufgaben von ihren Kindern (Child) wie z.B. ein check_ping ausführen. Das sieht wie folgt aus:

 

 

Jedes Child führt seine Aufgabe aus und meldet sich im Anschluß mit dem "SIGCHLD" Signal beim Parent.

Der Parent Prozess ist jetzt aufgefordert den wait() Systemcall durchzuführen um die das "SIGCHLD" Signal als Informationen vom Child zu empfangen.

Nach dem erfolgreichen Übertragen, wird normalerweise der Prozess, das Child getötet.

Passiert das nicht, werden immer mehr Untote erschaffen, Prozesse, die tatenlos im Prozessmanager des Systems hängen.

Einige Parents z.B. nagios haben lassen häufig ihre Child-Prozesse zurück, ohne für diese die Verantwortung zutragen.

Durch das Ignorieren der Child-Prozesse können die Parents mehr Zeit aufwenden um neue Events zu verarbeiten oder auch neue Child-Prozesse anzutriggern.

 

Kapitel 3 - Langzeitauswirkung

Kümmert sich das verantwortliche Administratorenteam, sich nicht um ihre Zombies, kann es zu folgenden Problemen kommen:

• Max PID's pro User wird erreicht (/etc/security/limits.d/,(/etc/security/limits.conf).
• Evtl. Memory Leak im Parent Process

 

 

Kapitel 4 - Suchen und töten der Zombies "search and destroy"

Um die Untoten aufzuspüren, gibt es verschiedene Möglichkeiten, die einfachste Art ist das Kommando ps.

 

Beispiel:

 

Jetzt lässt sich der Zombie wie folgt beseitigen:

• Methode 1 (Verantwortung zu den Parent schieben): "kill -s SIGCHLD <pid>". Hiermit beseitig der Parent sein Child.
• Methode 2 (Es selbst machen): "kill -9 <pid>". Damit wird der Zombie aus seinem Nest, dem Prozessmanager des Systems geworfen.
• Methode 3 (Massenvernichtung): "ps afx | grep defunct -B 1 | grep -Eo "[0-9]{3,}" | xargs kill -9". Damit werden alle Zombies beseitigt.
  
  

 

 

Kapitel 5 - Verteidigungslinien

Durch regelmässige Checks können Einzelne oder Gruppen von Zombieprozessen aufgespürt werden.

Wir nutzen dafür das bewährte "check_procs". Mit "check_procs" können wir unter Ux-Systemen verschiedene grundlegende Checks durchführen:

 

Beispiele für "check_procs"

 

Mit dem Aufruf des State-Check lassen sich die Zombies im System finden. Definieren wir zusätzlich einen Eventhandler, können wir alle Zombies automatisch töten.

 

Im SNAG-View muss folgender Befehl als Eventhandler hinterlegt werden:

 

Folgendes Script muss auf dem SNAG-View Server hinterlegt sein:

Der Eventhandler wird gestartet und führt in bestimmten Situationen (HARD oder SOFT State mit den dritten Checkversuch) das Kommando aus.

Die Gegenseite muss wie folgt konfiguiert werden: