Suricata IDS — Netzwerk-Detektor

Kaufen Self-Hosted Protection
Live
Demo
Installiert, aber Dienst nicht gestartet. Starten und Autostart aktivieren:
sudo systemctl enable --now suricata
Einrichtung (FAQ)
Suricata
Nicht gestartet
IDS / IPS
Alerts in 24 h
255
Alerts in 24 h
Top-Kategorien
5
Kategorie
Top-Quellen
8
IP-Adresse
Top-Kategorien
Attempted Information Leak 82
Web Application Attack 61
Misc Attack 46
Detection of a Network Scan 38
Potentially Bad Traffic 28
Top-Quellen
198.51.100.18 22
198.51.100.16 20
198.51.100.13 17
198.51.100.15 16
198.51.100.11 13
198.51.100.14 13
198.51.100.12 12
198.51.100.17 8
Letzte Alerts
Zeit Signatur Quelle Ziel
2026-10-13 10:17 ET WEB_SERVER SQL Injection Attempt 198.51.100.34 203.0.113.10
2026-10-13 09:40 ET SCAN Potential SSH Scan 198.51.100.14 203.0.113.10
2026-10-13 10:06 ET POLICY curl User-Agent 198.51.100.19 203.0.113.10
2026-10-13 08:43 ET WEB_SERVER SQL Injection Attempt 198.51.100.11 203.0.113.10
2026-10-13 09:23 ET WEB_SERVER SQL Injection Attempt 198.51.100.23 203.0.113.10
2026-10-13 09:24 ET POLICY curl User-Agent 198.51.100.17 203.0.113.10
2026-10-13 07:25 ET POLICY curl User-Agent 198.51.100.20 203.0.113.10
2026-10-13 09:41 ET WEB_SERVER SQL Injection Attempt 198.51.100.25 203.0.113.10
2026-10-13 08:06 ET POLICY curl User-Agent 198.51.100.24 203.0.113.10
2026-10-13 04:23 ET SCAN Potential SSH Scan 198.51.100.16 203.0.113.10
2026-10-13 08:54 ET SCAN Nmap Scripting Engine 198.51.100.11 203.0.113.10
2026-10-13 04:52 ET POLICY curl User-Agent 198.51.100.15 203.0.113.10
2026-10-13 06:13 ET SCAN Potential SSH Scan 198.51.100.31 203.0.113.10
2026-10-13 05:20 GPL WEB_SERVER /etc/passwd access 198.51.100.20 203.0.113.10
2026-10-13 04:36 ET POLICY curl User-Agent 198.51.100.35 203.0.113.10
2026-10-13 08:59 ET SCAN Potential SSH Scan 198.51.100.16 203.0.113.10
2026-10-13 06:37 GPL WEB_SERVER /etc/passwd access 198.51.100.21 203.0.113.10
2026-10-13 01:23 ET SCAN Potential SSH Scan 198.51.100.18 203.0.113.10
2026-10-13 02:50 ET WEB_SERVER SQL Injection Attempt 198.51.100.27 203.0.113.10
2026-10-13 01:39 ET WEB_SERVER SQL Injection Attempt 198.51.100.24 203.0.113.10
2026-10-13 02:05 ET WEB_SERVER SQL Injection Attempt 198.51.100.33 203.0.113.10
2026-10-12 21:06 ET WEB_SERVER SQL Injection Attempt 198.51.100.27 203.0.113.10
2026-10-13 05:21 GPL WEB_SERVER /etc/passwd access 198.51.100.25 203.0.113.10
2026-10-12 22:20 GPL WEB_SERVER /etc/passwd access 198.51.100.28 203.0.113.10
2026-10-13 03:45 ET SCAN Potential SSH Scan 198.51.100.24 203.0.113.10
2026-10-12 23:29 ET WEB_SERVER SQL Injection Attempt 198.51.100.33 203.0.113.10
2026-10-13 02:54 ET POLICY curl User-Agent 198.51.100.32 203.0.113.10
2026-10-13 05:01 ET WEB_SERVER WordPress login bruteforce 198.51.100.19 203.0.113.10
2026-10-12 23:29 ET WEB_SERVER WordPress login bruteforce 198.51.100.16 203.0.113.10
2026-10-12 22:10 ET WEB_SERVER SQL Injection Attempt 198.51.100.20 203.0.113.10

Suricata-Alarme ohne ELK-Stack

Suricata schreibt seine Funde nach eve.json, ein JSON-Objekt je Ereignis, und der übliche Rat lautet, das nach Elasticsearch zu schieben und über Kibana anzusehen. Auf einem Cluster ist das vernünftig. Auf einem einzelnen VPS bedeutet es: eine Suchmaschine, einen Log-Shipper und einen Dashboard-Server betreiben — mehrere Gigabyte Speicher und ein zweites System zur Pflege —, nur um Alarme von genau der Maschine zu lesen, auf der sie ohnehin geschrieben wurden.

Diese Seite liest eve.json direkt, ebenso fast.log, falls Ihr Build dieses Format erzeugt. Sie zeigt die Alarme der letzten 24 Stunden nach Kategorie gruppiert, die Adressen mit den meisten Treffern und die einzelnen Signaturen mit Quelle, Ziel, Protokoll und Schweregrad.

Läuft Suricata, meldet aber nichts, liegt es fast immer an den Regeln und nicht am Verkehr: Eine frische Installation bringt keine Signaturen mit, bis suricata-update mindestens einmal gelaufen ist. Die zweite Überraschung ist der Schweregrad — das meiste, was ein öffentlicher Sensor meldet, ist niedrigstufiges Scannen, aus dem nie etwas wird. Lesen Sie deshalb die Kategorien vor der Zahl.

Ein Sensor auf der Leitung hat eine Grenze, über die regelmäßig gestolpert wird: verschlüsselter Verkehr erscheint ihm als Byte-Strom. Er sagt, dass von dieser Adresse eine Verbindung zu Ihrer Website kam, aber nicht, dass in der Anfrage ein SQL-Injection-Versuch steckte. Das liest ModSecurity, im Webserver, nach der Entschlüsselung. Die beiden ersetzen einander nicht: der eine sieht das Netz von außen, der andere die Anfrage von innen.