Suricata IDS — nettverksdetektor

Kjøp Self-Hosted Protection
Live
Demo
Installert, men tjenesten er ikke startet. Start den og aktiver autostart:
sudo systemctl enable --now suricata
Slik konfigurerer du (FAQ)
Suricata
Ikke startet
IDS / IPS
Varsler siste 24 t
188
Varsler siste 24 t
Toppkategorier
5
Kategori
Toppkilder
8
IP-adresse
Toppkategorier
Attempted Information Leak 60
Web Application Attack 45
Misc Attack 34
Detection of a Network Scan 28
Potentially Bad Traffic 21
Toppkilder
198.51.100.13 22
198.51.100.14 12
198.51.100.12 10
198.51.100.18 8
198.51.100.11 7
198.51.100.15 6
198.51.100.17 4
198.51.100.16 3
Siste varsler
Tid Signatur Kilde Mål
2026-10-12 11:19 ET POLICY curl User-Agent 198.51.100.34 203.0.113.10
2026-10-12 10:41 ET SCAN Potential SSH Scan 198.51.100.17 203.0.113.10
2026-10-12 10:33 ET WEB_SERVER WordPress login bruteforce 198.51.100.33 203.0.113.10
2026-10-12 09:37 ET SCAN Nmap Scripting Engine 198.51.100.16 203.0.113.10
2026-10-12 08:53 ET WEB_SERVER SQL Injection Attempt 198.51.100.16 203.0.113.10
2026-10-12 10:43 ET POLICY curl User-Agent 198.51.100.34 203.0.113.10
2026-10-12 07:55 ET WEB_SERVER WordPress login bruteforce 198.51.100.28 203.0.113.10
2026-10-12 06:45 ET SCAN Potential SSH Scan 198.51.100.18 203.0.113.10
2026-10-12 09:42 ET SCAN Potential SSH Scan 198.51.100.31 203.0.113.10
2026-10-12 06:11 ET POLICY curl User-Agent 198.51.100.31 203.0.113.10
2026-10-12 08:39 ET SCAN Nmap Scripting Engine 198.51.100.14 203.0.113.10
2026-10-12 04:01 ET SCAN Potential SSH Scan 198.51.100.17 203.0.113.10
2026-10-12 03:43 ET POLICY curl User-Agent 198.51.100.15 203.0.113.10
2026-10-12 06:07 ET POLICY curl User-Agent 198.51.100.12 203.0.113.10
2026-10-12 03:34 ET SCAN Nmap Scripting Engine 198.51.100.22 203.0.113.10
2026-10-12 02:14 ET SCAN Nmap Scripting Engine 198.51.100.15 203.0.113.10
2026-10-12 06:07 ET SCAN Nmap Scripting Engine 198.51.100.26 203.0.113.10
2026-10-12 00:52 ET WEB_SERVER WordPress login bruteforce 198.51.100.26 203.0.113.10
2026-10-12 01:46 ET SCAN Potential SSH Scan 198.51.100.19 203.0.113.10
2026-10-12 08:22 ET POLICY curl User-Agent 198.51.100.34 203.0.113.10
2026-10-12 08:05 ET SCAN Nmap Scripting Engine 198.51.100.19 203.0.113.10
2026-10-12 00:18 ET SCAN Potential SSH Scan 198.51.100.16 203.0.113.10
2026-10-12 09:02 ET WEB_SERVER WordPress login bruteforce 198.51.100.24 203.0.113.10
2026-10-12 03:04 ET WEB_SERVER WordPress login bruteforce 198.51.100.13 203.0.113.10
2026-10-12 06:54 ET SCAN Potential SSH Scan 198.51.100.21 203.0.113.10
2026-10-12 01:36 ET WEB_SERVER SQL Injection Attempt 198.51.100.19 203.0.113.10
2026-10-12 02:42 ET SCAN Nmap Scripting Engine 198.51.100.14 203.0.113.10
2026-10-12 03:43 ET WEB_SERVER SQL Injection Attempt 198.51.100.26 203.0.113.10
2026-10-12 00:23 ET POLICY curl User-Agent 198.51.100.16 203.0.113.10
2026-10-12 03:59 ET WEB_SERVER WordPress login bruteforce 198.51.100.30 203.0.113.10

Suricata-varsler uten en ELK-stack

Suricata skriver funnene sine til eve.json, ett JSON-objekt per hendelse, og det vanlige rådet er å sende alt sammen inn i Elasticsearch og se på det gjennom Kibana. På en klynge er det fornuftig. På én enkelt VPS betyr det å holde i gang en søkemotor, en logginnsamler og en dashbordserver — flere gigabyte minne og et andre system å vedlikeholde — for å lese varsler fra den samme maskinen der de allerede var skrevet.

Denne siden leser eve.json direkte, i tillegg til fast.log når det er det byggen din produserer. Den viser varslene fra de siste tjuefire timene gruppert etter kategori, adressene som forårsaker flest av dem, og de enkelte signaturene med kilde, mål, protokoll og alvorlighetsgrad.

Kjører Suricata uten å melde noe, ligger årsaken nesten alltid i reglene og ikke i trafikken: en fersk installasjon har ingen signaturer før suricata-update har kjørt minst én gang. Den andre overraskelsen er alvorlighetsgraden. Det meste en eksponert sensor melder er skanning av lav grad som aldri blir til noe, så les kategoriene før telleren.

En sensor på linjen har en grense man snubler over med jevne mellomrom: kryptert trafikk ser den som en strøm av byte. Den sier at en forbindelse til nettstedet ditt kom fra denne adressen, men ikke at forespørselen bar på et forsøk på SQL-injeksjon. Det leses av ModSecurity, inne i vevtjeneren, etter dekrypteringen. De to erstatter ikke hverandre: den ene ser nettet utenfra, den andre forespørselen innenfra.