Suricata IDS — גלאי רשת

קנה Self-Hosted Protection
Live
Demo
מותקן, אך השירות אינו פועל. הפעל וקבע הפעלה אוטומטית:
sudo systemctl enable --now suricata
כיצד להגדיר (FAQ)
Suricata
לא פועל
IDS / IPS
התראות ב-24 ש׳
188
התראות ב-24 ש׳
קטגוריות מובילות
5
קטגוריה
מקורות מובילים
8
כתובת IP
קטגוריות מובילות
Attempted Information Leak 60
Web Application Attack 45
Misc Attack 34
Detection of a Network Scan 28
Potentially Bad Traffic 21
מקורות מובילים
198.51.100.13 22
198.51.100.14 12
198.51.100.12 10
198.51.100.18 8
198.51.100.11 7
198.51.100.15 6
198.51.100.17 4
198.51.100.16 3
התראות אחרונות
זמן חתימה מקור יעד
2026-10-12 11:19 ET POLICY curl User-Agent 198.51.100.34 203.0.113.10
2026-10-12 10:41 ET SCAN Potential SSH Scan 198.51.100.17 203.0.113.10
2026-10-12 10:33 ET WEB_SERVER WordPress login bruteforce 198.51.100.33 203.0.113.10
2026-10-12 09:37 ET SCAN Nmap Scripting Engine 198.51.100.16 203.0.113.10
2026-10-12 08:53 ET WEB_SERVER SQL Injection Attempt 198.51.100.16 203.0.113.10
2026-10-12 10:43 ET POLICY curl User-Agent 198.51.100.34 203.0.113.10
2026-10-12 07:55 ET WEB_SERVER WordPress login bruteforce 198.51.100.28 203.0.113.10
2026-10-12 06:45 ET SCAN Potential SSH Scan 198.51.100.18 203.0.113.10
2026-10-12 09:42 ET SCAN Potential SSH Scan 198.51.100.31 203.0.113.10
2026-10-12 06:11 ET POLICY curl User-Agent 198.51.100.31 203.0.113.10
2026-10-12 08:39 ET SCAN Nmap Scripting Engine 198.51.100.14 203.0.113.10
2026-10-12 04:01 ET SCAN Potential SSH Scan 198.51.100.17 203.0.113.10
2026-10-12 03:43 ET POLICY curl User-Agent 198.51.100.15 203.0.113.10
2026-10-12 06:07 ET POLICY curl User-Agent 198.51.100.12 203.0.113.10
2026-10-12 03:34 ET SCAN Nmap Scripting Engine 198.51.100.22 203.0.113.10
2026-10-12 02:14 ET SCAN Nmap Scripting Engine 198.51.100.15 203.0.113.10
2026-10-12 06:07 ET SCAN Nmap Scripting Engine 198.51.100.26 203.0.113.10
2026-10-12 00:52 ET WEB_SERVER WordPress login bruteforce 198.51.100.26 203.0.113.10
2026-10-12 01:46 ET SCAN Potential SSH Scan 198.51.100.19 203.0.113.10
2026-10-12 08:22 ET POLICY curl User-Agent 198.51.100.34 203.0.113.10
2026-10-12 08:05 ET SCAN Nmap Scripting Engine 198.51.100.19 203.0.113.10
2026-10-12 00:18 ET SCAN Potential SSH Scan 198.51.100.16 203.0.113.10
2026-10-12 09:02 ET WEB_SERVER WordPress login bruteforce 198.51.100.24 203.0.113.10
2026-10-12 03:04 ET WEB_SERVER WordPress login bruteforce 198.51.100.13 203.0.113.10
2026-10-12 06:54 ET SCAN Potential SSH Scan 198.51.100.21 203.0.113.10
2026-10-12 01:36 ET WEB_SERVER SQL Injection Attempt 198.51.100.19 203.0.113.10
2026-10-12 02:42 ET SCAN Nmap Scripting Engine 198.51.100.14 203.0.113.10
2026-10-12 03:43 ET WEB_SERVER SQL Injection Attempt 198.51.100.26 203.0.113.10
2026-10-12 00:23 ET POLICY curl User-Agent 198.51.100.16 203.0.113.10
2026-10-12 03:59 ET WEB_SERVER WordPress login bruteforce 198.51.100.30 203.0.113.10

התרעות Suricata בלי מחסנית ELK

‏Suricata כותבת את ממצאיה אל eve.json, אובייקט JSON אחד לכל אירוע, והעצה המקובלת אומרת לשלוח את הכול אל Elasticsearch ולצפות בו דרך Kibana. באשכול זה הגיוני. ב-VPS יחיד פירוש הדבר להחזיק מנוע חיפוש, אוסף יומנים ושרת לוחות מחוונים — כמה ג׳יגה-בייט של זיכרון ומערכת שנייה לתחזוקה — רק כדי לקרוא התרעות מאותה מכונה שעליה כבר נכתבו.

הדף קורא את eve.json ישירות, וגם את fast.log כאשר זה מה שהגרסה שלכם מייצרת. הוא מציג את ההתרעות מעשרים וארבע השעות האחרונות מקובצות לפי קטגוריה, את הכתובות שמייצרות את מרביתן, ואת החתימות הבודדות עם מקור, יעד, פרוטוקול ורמת חומרה.

אם Suricata רצה ואינה מדווחת דבר, הסיבה כמעט תמיד בכללים ולא בתעבורה: התקנה טרייה אינה מכילה אף חתימה עד ש-suricata-update ירוץ לפחות פעם אחת. ההפתעה האחרת היא רמת החומרה. רוב מה שחיישן חשוף מדווח הוא סריקה ברמת חומרה נמוכה שלעולם אינה מתפתחת לדבר, ולכן קראו את הקטגוריות לפני המונה.

לחיישן שיושב על הקו יש גבול שנתקלים בו שוב ושוב: תעבורה מוצפנת נראית לו כזרם בתים. הוא יאמר שמכתובת זו הגיע חיבור לאתר שלך, אך לא יאמר שבבקשה הייתה ניסיון הזרקת SQL. את זה קורא ModSecurity, בתוך שרת האינטרנט, לאחר הפענוח. השניים אינם מחליפים זה את זה: האחד מביט ברשת מבחוץ, השני בבקשה מבפנים.