Suricata IDS — ανιχνευτής δικτύου

Αγορά Self-Hosted Protection
Live
Demo
Εγκαταστάθηκε, αλλά η υπηρεσία δεν εκτελείται. Εκκινήστε την και ενεργοποιήστε την αυτόματη εκκίνηση:
sudo systemctl enable --now suricata
Οδηγίες ρύθμισης (FAQ)
Suricata
Δεν εκτελείται
IDS / IPS
Ειδοποιήσεις σε 24 ώρες
170
Ειδοποιήσεις σε 24 ώρες
Κορυφαίες κατηγορίες
5
Κατηγορία
Κορυφαίες πηγές
8
Διεύθυνση IP
Κορυφαίες κατηγορίες
Attempted Information Leak 54
Web Application Attack 41
Misc Attack 31
Detection of a Network Scan 26
Potentially Bad Traffic 19
Κορυφαίες πηγές
198.51.100.17 18
198.51.100.18 13
198.51.100.13 12
198.51.100.16 12
198.51.100.14 11
198.51.100.11 8
198.51.100.12 4
198.51.100.15 3
Πρόσφατες ειδοποιήσεις
Ώρα Υπογραφή Πηγή Προορισμός
2026-10-12 22:36 ET WEB_SERVER WordPress login bruteforce 198.51.100.21 203.0.113.10
2026-10-12 22:00 ET WEB_SERVER WordPress login bruteforce 198.51.100.34 203.0.113.10
2026-10-12 22:14 ET WEB_SERVER SQL Injection Attempt 198.51.100.20 203.0.113.10
2026-10-12 21:12 ET SCAN Nmap Scripting Engine 198.51.100.16 203.0.113.10
2026-10-12 20:28 GPL WEB_SERVER /etc/passwd access 198.51.100.15 203.0.113.10
2026-10-12 20:56 ET SCAN Potential SSH Scan 198.51.100.21 203.0.113.10
2026-10-12 19:51 ET SCAN Nmap Scripting Engine 198.51.100.30 203.0.113.10
2026-10-12 21:19 ET SCAN Potential SSH Scan 198.51.100.31 203.0.113.10
2026-10-12 18:54 ET SCAN Potential SSH Scan 198.51.100.31 203.0.113.10
2026-10-12 18:58 ET POLICY curl User-Agent 198.51.100.32 203.0.113.10
2026-10-12 17:48 ET POLICY curl User-Agent 198.51.100.23 203.0.113.10
2026-10-12 21:30 ET SCAN Nmap Scripting Engine 198.51.100.27 203.0.113.10
2026-10-12 15:37 GPL WEB_SERVER /etc/passwd access 198.51.100.32 203.0.113.10
2026-10-12 15:08 ET SCAN Potential SSH Scan 198.51.100.27 203.0.113.10
2026-10-12 16:39 ET POLICY curl User-Agent 198.51.100.22 203.0.113.10
2026-10-12 20:50 ET POLICY curl User-Agent 198.51.100.28 203.0.113.10
2026-10-12 13:51 ET POLICY curl User-Agent 198.51.100.29 203.0.113.10
2026-10-12 17:54 ET SCAN Nmap Scripting Engine 198.51.100.32 203.0.113.10
2026-10-12 10:52 ET SCAN Potential SSH Scan 198.51.100.29 203.0.113.10
2026-10-12 19:14 ET SCAN Nmap Scripting Engine 198.51.100.19 203.0.113.10
2026-10-12 13:25 ET SCAN Nmap Scripting Engine 198.51.100.21 203.0.113.10
2026-10-12 09:48 ET WEB_SERVER WordPress login bruteforce 198.51.100.15 203.0.113.10
2026-10-12 17:57 GPL WEB_SERVER /etc/passwd access 198.51.100.17 203.0.113.10
2026-10-12 13:11 ET SCAN Potential SSH Scan 198.51.100.13 203.0.113.10
2026-10-12 16:19 ET WEB_SERVER WordPress login bruteforce 198.51.100.14 203.0.113.10
2026-10-12 18:08 GPL WEB_SERVER /etc/passwd access 198.51.100.21 203.0.113.10
2026-10-12 15:32 ET SCAN Potential SSH Scan 198.51.100.30 203.0.113.10
2026-10-12 05:00 ET WEB_SERVER WordPress login bruteforce 198.51.100.11 203.0.113.10
2026-10-12 08:00 ET SCAN Nmap Scripting Engine 198.51.100.27 203.0.113.10
2026-10-12 03:17 ET SCAN Nmap Scripting Engine 198.51.100.19 203.0.113.10

Ειδοποιήσεις Suricata χωρίς στοίβα ELK

Η Suricata γράφει τα ευρήματά της στο eve.json, ένα αντικείμενο JSON ανά συμβάν, και η συνήθης συμβουλή λέει να σταλούν όλα αυτά στο Elasticsearch και να τα βλέπετε μέσα από το Kibana. Σε συστάδα αυτό βγάζει νόημα. Σε ένα μόνο VPS σημαίνει να κρατάτε σε λειτουργία μια μηχανή αναζήτησης, έναν συλλέκτη καταγραφών και έναν διακομιστή πινάκων — αρκετά gigabytes μνήμης και ένα δεύτερο σύστημα προς συντήρηση — μόνο και μόνο για να διαβάζετε ειδοποιήσεις από το ίδιο μηχάνημα στο οποίο είχαν ήδη γραφτεί.

Η σελίδα διαβάζει το eve.json απευθείας, καθώς και το fast.log όταν αυτό παράγει η δική σας έκδοση. Δείχνει τις ειδοποιήσεις του τελευταίου εικοσιτετραώρου ομαδοποιημένες κατά κατηγορία, τις διευθύνσεις που παράγουν τις περισσότερες και τις επιμέρους υπογραφές με προέλευση, προορισμό, πρωτόκολλο και σοβαρότητα.

Αν η Suricata τρέχει αλλά δεν αναφέρει τίποτα, η αιτία βρίσκεται σχεδόν πάντα στους κανόνες και όχι στην κίνηση: μια φρέσκια εγκατάσταση δεν περιέχει καμία υπογραφή ώσπου να τρέξει τουλάχιστον μία φορά το suricata-update. Η άλλη έκπληξη είναι η σοβαρότητα. Το μεγαλύτερο μέρος όσων αναφέρει ένας εκτεθειμένος αισθητήρας είναι σάρωση χαμηλής σοβαρότητας που δεν καταλήγει ποτέ πουθενά, οπότε διαβάστε τις κατηγορίες πριν από τον μετρητή.

Ένας αισθητήρας στο καλώδιο έχει ένα όριο πάνω στο οποίο σκοντάφτουν τακτικά: την κρυπτογραφημένη κίνηση τη βλέπει σαν ροή από bytes. Θα πει ότι από αυτή τη διεύθυνση ήρθε σύνδεση στον ιστότοπό σας, αλλά όχι ότι το αίτημα έφερε απόπειρα ένεσης SQL. Αυτό το διαβάζει το ModSecurity, μέσα στον διακομιστή ιστού, μετά την αποκρυπτογράφηση. Τα δύο δεν αντικαθιστούν το ένα το άλλο: το ένα κοιτά το δίκτυο απέξω, το άλλο το αίτημα από μέσα.