Suricata IDS — تشخیص‌دهنده شبکه

خرید Self-Hosted Protection
Live
Demo
نصب شده اما سرویس اجرا نشده است. آن را اجرا و خودکار کنید:
sudo systemctl enable --now suricata
نحوه پیکربندی (FAQ)
Suricata
اجرا نشده
IDS / IPS
هشدارها در ۲۴ ساعت
240
هشدارها در ۲۴ ساعت
دسته‌های برتر
5
دسته
منابع برتر
8
آدرس IP
دسته‌های برتر
Attempted Information Leak 77
Web Application Attack 58
Misc Attack 43
Detection of a Network Scan 36
Potentially Bad Traffic 26
منابع برتر
198.51.100.12 22
198.51.100.16 21
198.51.100.13 19
198.51.100.14 12
198.51.100.17 11
198.51.100.11 9
198.51.100.18 9
198.51.100.15 5
آخرین هشدارها
زمان امضا مبدأ مقصد
2026-10-13 08:59 ET WEB_SERVER SQL Injection Attempt 198.51.100.14 203.0.113.10
2026-10-13 08:28 ET SCAN Nmap Scripting Engine 198.51.100.33 203.0.113.10
2026-10-13 08:31 ET WEB_SERVER WordPress login bruteforce 198.51.100.33 203.0.113.10
2026-10-13 08:36 ET WEB_SERVER WordPress login bruteforce 198.51.100.19 203.0.113.10
2026-10-13 07:49 ET SCAN Nmap Scripting Engine 198.51.100.11 203.0.113.10
2026-10-13 07:50 ET SCAN Potential SSH Scan 198.51.100.21 203.0.113.10
2026-10-13 07:28 GPL WEB_SERVER /etc/passwd access 198.51.100.30 203.0.113.10
2026-10-13 08:08 GPL WEB_SERVER /etc/passwd access 198.51.100.35 203.0.113.10
2026-10-13 04:27 GPL WEB_SERVER /etc/passwd access 198.51.100.34 203.0.113.10
2026-10-13 03:53 ET SCAN Nmap Scripting Engine 198.51.100.17 203.0.113.10
2026-10-13 02:32 ET SCAN Nmap Scripting Engine 198.51.100.15 203.0.113.10
2026-10-13 03:01 GPL WEB_SERVER /etc/passwd access 198.51.100.34 203.0.113.10
2026-10-13 02:53 ET SCAN Nmap Scripting Engine 198.51.100.34 203.0.113.10
2026-10-13 02:44 GPL WEB_SERVER /etc/passwd access 198.51.100.31 203.0.113.10
2026-10-13 06:31 ET SCAN Potential SSH Scan 198.51.100.20 203.0.113.10
2026-10-13 01:11 ET SCAN Potential SSH Scan 198.51.100.28 203.0.113.10
2026-10-13 06:25 GPL WEB_SERVER /etc/passwd access 198.51.100.16 203.0.113.10
2026-10-13 06:00 ET SCAN Potential SSH Scan 198.51.100.25 203.0.113.10
2026-10-13 03:20 ET WEB_SERVER SQL Injection Attempt 198.51.100.31 203.0.113.10
2026-10-13 03:52 ET WEB_SERVER WordPress login bruteforce 198.51.100.21 203.0.113.10
2026-10-12 21:30 ET WEB_SERVER WordPress login bruteforce 198.51.100.34 203.0.113.10
2026-10-13 01:46 GPL WEB_SERVER /etc/passwd access 198.51.100.19 203.0.113.10
2026-10-12 23:34 GPL WEB_SERVER /etc/passwd access 198.51.100.18 203.0.113.10
2026-10-12 23:56 ET WEB_SERVER WordPress login bruteforce 198.51.100.29 203.0.113.10
2026-10-13 03:24 ET WEB_SERVER WordPress login bruteforce 198.51.100.20 203.0.113.10
2026-10-13 01:17 ET WEB_SERVER WordPress login bruteforce 198.51.100.15 203.0.113.10
2026-10-13 01:40 ET POLICY curl User-Agent 198.51.100.12 203.0.113.10
2026-10-12 20:33 GPL WEB_SERVER /etc/passwd access 198.51.100.17 203.0.113.10
2026-10-13 01:56 ET WEB_SERVER WordPress login bruteforce 198.51.100.15 203.0.113.10
2026-10-12 18:06 ET SCAN Nmap Scripting Engine 198.51.100.26 203.0.113.10

هشدارهای Suricata بدون پشتهٔ ELK

‏Suricata یافته‌هایش را در eve.json می‌نویسد، برای هر رویداد یک شیء JSON، و توصیهٔ همیشگی این است که همهٔ آن به Elasticsearch فرستاده و از راه Kibana دیده شود. روی یک خوشه این معقول است. اما روی یک VPS تنها یعنی نگه‌داشتن یک موتور جست‌وجو، یک گردآورندهٔ گزارش و یک کارساز داشبورد — چند گیگابایت حافظه و سامانه‌ای دوم برای نگهداری — تنها برای خواندن هشدارهایی از همان ماشینی که پیشتر روی آن نوشته شده‌اند.

این صفحه eve.json را مستقیم می‌خواند و همچنین fast.log را، هرگاه ساخت شما همان را تولید کند. هشدارهای بیست‌وچهار ساعت گذشته را دسته‌بندی‌شده بر پایهٔ دسته، نشانی‌هایی که بیشترین آن‌ها را می‌سازند، و امضاهای تکی را با مبدأ، مقصد، پروتکل و درجهٔ شدت نشان می‌دهد.

اگر Suricata اجرا می‌شود اما چیزی گزارش نمی‌دهد، علت تقریباً همیشه در قواعد است نه در ترافیک: نصب تازه هیچ امضایی ندارد تا زمانی که suricata-update دست‌کم یک بار اجرا شود. غافلگیری دیگر درجهٔ شدت است. بیشتر آنچه یک حسگر در معرض گزارش می‌کند پویشی کم‌شدت است که هرگز به جایی نمی‌رسد، پس دسته‌ها را پیش از شمارنده بخوانید.

حسگری که روی خط نشسته مرزی دارد که مرتب در آن می‌لغزند: ترافیک رمزگذاری‌شده برایش جریانی از بایت است. می‌گوید از این نشانی اتصالی به سایت شما آمده، اما نمی‌گوید که در آن درخواست تلاش برای تزریق SQL بوده است. آن را ModSecurity می‌خواند، درون وب‌سرور، پس از رمزگشایی. این دو جای یکدیگر را نمی‌گیرند: یکی شبکه را از بیرون می‌بیند و دیگری درخواست را از درون.