Suricata IDS — ネットワーク検知

購入 Self-Hosted Protection
Live
Demo
インストール済みですが、サービスが起動していません。起動して自動起動を有効にしてください:
sudo systemctl enable --now suricata
設定方法（FAQ）
Suricata
未起動
IDS / IPS
24時間のアラート
307
24時間のアラート
上位カテゴリ
5
カテゴリ
上位送信元
8
IP アドレス
上位カテゴリ
Attempted Information Leak 98
Web Application Attack 74
Misc Attack 55
Detection of a Network Scan 46
Potentially Bad Traffic 34
上位送信元
198.51.100.16 24
198.51.100.13 16
198.51.100.11 15
198.51.100.18 13
198.51.100.14 11
198.51.100.12 9
198.51.100.15 9
198.51.100.17 6
最近のアラート
時刻 シグネチャ 送信元 宛先
2026-10-13 11:52 GPL WEB_SERVER /etc/passwd access 198.51.100.35 203.0.113.10
2026-10-13 11:41 ET SCAN Potential SSH Scan 198.51.100.19 203.0.113.10
2026-10-13 10:34 GPL WEB_SERVER /etc/passwd access 198.51.100.34 203.0.113.10
2026-10-13 10:20 ET POLICY curl User-Agent 198.51.100.35 203.0.113.10
2026-10-13 09:22 ET WEB_SERVER WordPress login bruteforce 198.51.100.11 203.0.113.10
2026-10-13 10:09 ET SCAN Potential SSH Scan 198.51.100.32 203.0.113.10
2026-10-13 08:34 GPL WEB_SERVER /etc/passwd access 198.51.100.25 203.0.113.10
2026-10-13 10:21 ET POLICY curl User-Agent 198.51.100.17 203.0.113.10
2026-10-13 07:32 GPL WEB_SERVER /etc/passwd access 198.51.100.22 203.0.113.10
2026-10-13 06:59 ET SCAN Potential SSH Scan 198.51.100.12 203.0.113.10
2026-10-13 08:47 ET WEB_SERVER SQL Injection Attempt 198.51.100.28 203.0.113.10
2026-10-13 06:13 ET SCAN Potential SSH Scan 198.51.100.15 203.0.113.10
2026-10-13 09:40 ET SCAN Potential SSH Scan 198.51.100.28 203.0.113.10
2026-10-13 08:28 ET POLICY curl User-Agent 198.51.100.30 203.0.113.10
2026-10-13 05:50 ET POLICY curl User-Agent 198.51.100.34 203.0.113.10
2026-10-13 07:18 ET SCAN Nmap Scripting Engine 198.51.100.32 203.0.113.10
2026-10-13 01:39 GPL WEB_SERVER /etc/passwd access 198.51.100.16 203.0.113.10
2026-10-13 06:07 ET WEB_SERVER WordPress login bruteforce 198.51.100.15 203.0.113.10
2026-10-13 00:11 GPL WEB_SERVER /etc/passwd access 198.51.100.13 203.0.113.10
2026-10-13 08:04 ET SCAN Nmap Scripting Engine 198.51.100.31 203.0.113.10
2026-10-13 01:54 ET WEB_SERVER WordPress login bruteforce 198.51.100.14 203.0.113.10
2026-10-13 07:05 GPL WEB_SERVER /etc/passwd access 198.51.100.14 203.0.113.10
2026-10-13 07:38 ET SCAN Nmap Scripting Engine 198.51.100.31 203.0.113.10
2026-10-13 00:13 ET WEB_SERVER SQL Injection Attempt 198.51.100.24 203.0.113.10
2026-10-12 21:48 ET SCAN Potential SSH Scan 198.51.100.19 203.0.113.10
2026-10-13 08:13 ET SCAN Nmap Scripting Engine 198.51.100.30 203.0.113.10
2026-10-13 05:54 ET WEB_SERVER WordPress login bruteforce 198.51.100.26 203.0.113.10
2026-10-12 21:43 ET SCAN Potential SSH Scan 198.51.100.17 203.0.113.10
2026-10-12 21:49 GPL WEB_SERVER /etc/passwd access 198.51.100.13 203.0.113.10
2026-10-13 08:01 GPL WEB_SERVER /etc/passwd access 198.51.100.14 203.0.113.10

ELK を組まずに Suricata のアラートを読む

Suricata は見つけたものを eve.json に書きます。ひとつの出来事につき JSON オブジェクトひとつです。そして通り相場の助言は、それらをまとめて Elasticsearch へ送り、Kibana 越しに眺めよというものです。クラスタの上でならそれは理に適っています。しかし一台きりの VPS では、検索エンジンとログ収集役とダッシュボードのサーバーを飼うことを意味します。何ギガバイトもの記憶と、面倒を見るべき二つめの仕組みを抱えて、アラートがすでに書かれているまさにその機械からそれを読むために、です。

このページは eve.json を直に読み、あなたの構成がそれを出すなら fast.log も読みます。直近二十四時間のアラートを分類ごとにまとめて示し、最も多くを生んでいるアドレスと、送信元・宛先・プロトコル・深刻度を添えた個々のシグネチャを並べます。

Suricata が動いているのに何も報せないなら、原因はほぼ常に通信ではなく規則にあります。入れたばかりの環境には、suricata-update が少なくとも一度走るまでシグネチャがひとつもありません。もう一つの意外は深刻度です。外に晒されたセンサーが報せるものの大半は、何にもならない低い深刻度の走査ですから、件数より先に分類を読んでください。

回線上のセンサーには、よくつまずく境目があります。暗号化された通信は、そこではバイトの流れにしか見えません。この宛先からサイトへ接続が来たことは伝えますが、その要求に SQL インジェクションの試みが含まれていたことは伝えません。それを読むのは ModSecurity で、Web サーバーの内側、復号したあとです。両者は互いの代わりにはなりません。一方は外からネットワークを見て、他方は内から要求を見ます。