Suricata IDS — verkkotunnistin

Osta Self-Hosted Protection
Live
Demo
Asennettu, mutta palvelu ei ole käynnissä. Käynnistä ja ota automaattikäynnistys käyttöön:
sudo systemctl enable --now suricata
Määritysohjeet (FAQ)
Suricata
Ei käynnissä
IDS / IPS
Hälytyksiä 24 h aikana
307
Hälytyksiä 24 h aikana
Top-kategoriat
5
Luokka
Top-lähteet
8
IP-osoite
Top-kategoriat
Attempted Information Leak 98
Web Application Attack 74
Misc Attack 55
Detection of a Network Scan 46
Potentially Bad Traffic 34
Top-lähteet
198.51.100.16 24
198.51.100.13 16
198.51.100.11 15
198.51.100.18 13
198.51.100.14 11
198.51.100.12 9
198.51.100.15 9
198.51.100.17 6
Viimeisimmät hälytykset
Aika Allekirjoitus Lähde Kohde
2026-10-13 11:52 GPL WEB_SERVER /etc/passwd access 198.51.100.35 203.0.113.10
2026-10-13 11:41 ET SCAN Potential SSH Scan 198.51.100.19 203.0.113.10
2026-10-13 10:34 GPL WEB_SERVER /etc/passwd access 198.51.100.34 203.0.113.10
2026-10-13 10:20 ET POLICY curl User-Agent 198.51.100.35 203.0.113.10
2026-10-13 09:22 ET WEB_SERVER WordPress login bruteforce 198.51.100.11 203.0.113.10
2026-10-13 10:09 ET SCAN Potential SSH Scan 198.51.100.32 203.0.113.10
2026-10-13 08:34 GPL WEB_SERVER /etc/passwd access 198.51.100.25 203.0.113.10
2026-10-13 10:21 ET POLICY curl User-Agent 198.51.100.17 203.0.113.10
2026-10-13 07:32 GPL WEB_SERVER /etc/passwd access 198.51.100.22 203.0.113.10
2026-10-13 06:59 ET SCAN Potential SSH Scan 198.51.100.12 203.0.113.10
2026-10-13 08:47 ET WEB_SERVER SQL Injection Attempt 198.51.100.28 203.0.113.10
2026-10-13 06:13 ET SCAN Potential SSH Scan 198.51.100.15 203.0.113.10
2026-10-13 09:40 ET SCAN Potential SSH Scan 198.51.100.28 203.0.113.10
2026-10-13 08:28 ET POLICY curl User-Agent 198.51.100.30 203.0.113.10
2026-10-13 05:50 ET POLICY curl User-Agent 198.51.100.34 203.0.113.10
2026-10-13 07:18 ET SCAN Nmap Scripting Engine 198.51.100.32 203.0.113.10
2026-10-13 01:39 GPL WEB_SERVER /etc/passwd access 198.51.100.16 203.0.113.10
2026-10-13 06:07 ET WEB_SERVER WordPress login bruteforce 198.51.100.15 203.0.113.10
2026-10-13 00:11 GPL WEB_SERVER /etc/passwd access 198.51.100.13 203.0.113.10
2026-10-13 08:04 ET SCAN Nmap Scripting Engine 198.51.100.31 203.0.113.10
2026-10-13 01:54 ET WEB_SERVER WordPress login bruteforce 198.51.100.14 203.0.113.10
2026-10-13 07:05 GPL WEB_SERVER /etc/passwd access 198.51.100.14 203.0.113.10
2026-10-13 07:38 ET SCAN Nmap Scripting Engine 198.51.100.31 203.0.113.10
2026-10-13 00:13 ET WEB_SERVER SQL Injection Attempt 198.51.100.24 203.0.113.10
2026-10-12 21:48 ET SCAN Potential SSH Scan 198.51.100.19 203.0.113.10
2026-10-13 08:13 ET SCAN Nmap Scripting Engine 198.51.100.30 203.0.113.10
2026-10-13 05:54 ET WEB_SERVER WordPress login bruteforce 198.51.100.26 203.0.113.10
2026-10-12 21:43 ET SCAN Potential SSH Scan 198.51.100.17 203.0.113.10
2026-10-12 21:49 GPL WEB_SERVER /etc/passwd access 198.51.100.13 203.0.113.10
2026-10-13 08:01 GPL WEB_SERVER /etc/passwd access 198.51.100.14 203.0.113.10

Suricatan hälytykset ilman ELK-pinoa

Suricata kirjoittaa löydöksensä tiedostoon eve.json, yksi JSON-objekti tapahtumaa kohti, ja tavanomainen neuvo on syöttää kaikki tuo Elasticsearchiin ja katsella sitä Kibanan läpi. Klusterilla se on järkevää. Yhdellä VPS:llä se tarkoittaa hakukoneen, lokien kerääjän ja koontinäyttöpalvelimen pyörittämistä — useita gigatavuja muistia ja toinen ylläpidettävä järjestelmä — jotta voisi lukea hälytyksiä samalta koneelta jolle ne oli jo kirjoitettu.

Tämä sivu lukee tiedostoa eve.json suoraan, samoin tiedostoa fast.log silloin kun käännöksesi tuottaa sitä. Se näyttää viimeisen kahdenkymmenenneljän tunnin hälytykset luokittain ryhmiteltynä, eniten niitä aiheuttavat osoitteet sekä yksittäiset tunnisteet lähteineen, kohteineen, protokollineen ja vakavuuksineen.

Jos Suricata on käynnissä muttei raportoi mitään, syy on lähes aina säännöissä eikä liikenteessä: tuoreessa asennuksessa ei ole yhtään tunnistetta ennen kuin suricata-update on ajettu vähintään kerran. Toinen yllätys on vakavuus. Suurin osa siitä mitä avoin anturi raportoi on matalan vakavuuden skannausta josta ei koskaan tule mitään, joten lue luokat ennen laskuria.

Johdolla olevalla anturilla on raja, johon kompastutaan säännöllisesti: salattu liikenne näyttää sille tavuvirralta. Se kertoo, että tästä osoitteesta tuli yhteys sivustollesi, mutta ei sitä, että pyynnössä oli SQL-injektioyritys. Sen lukee ModSecurity, verkkopalvelimen sisällä, salauksen purkamisen jälkeen. Nämä kaksi eivät korvaa toisiaan: toinen katsoo verkkoa ulkoa, toinen pyyntöä sisältä.