Suricata IDS — detector de rețea

Cumpără Self-Hosted Protection
Live
Demo
Instalat, dar serviciul nu este pornit. Porniți-l și activați pornirea automată:
sudo systemctl enable --now suricata
Cum se configurează (FAQ)
Suricata
Nepornit
IDS / IPS
Alerte în 24 h
188
Alerte în 24 h
Top categorii
5
Categorie
Top surse
8
Adresă IP
Top categorii
Attempted Information Leak 60
Web Application Attack 45
Misc Attack 34
Detection of a Network Scan 28
Potentially Bad Traffic 21
Top surse
198.51.100.13 22
198.51.100.14 12
198.51.100.12 10
198.51.100.18 8
198.51.100.11 7
198.51.100.15 6
198.51.100.17 4
198.51.100.16 3
Ultimele alerte
Timp Semnătură Sursă Destinație
2026-10-12 11:19 ET POLICY curl User-Agent 198.51.100.34 203.0.113.10
2026-10-12 10:41 ET SCAN Potential SSH Scan 198.51.100.17 203.0.113.10
2026-10-12 10:33 ET WEB_SERVER WordPress login bruteforce 198.51.100.33 203.0.113.10
2026-10-12 09:37 ET SCAN Nmap Scripting Engine 198.51.100.16 203.0.113.10
2026-10-12 08:53 ET WEB_SERVER SQL Injection Attempt 198.51.100.16 203.0.113.10
2026-10-12 10:43 ET POLICY curl User-Agent 198.51.100.34 203.0.113.10
2026-10-12 07:55 ET WEB_SERVER WordPress login bruteforce 198.51.100.28 203.0.113.10
2026-10-12 06:45 ET SCAN Potential SSH Scan 198.51.100.18 203.0.113.10
2026-10-12 09:42 ET SCAN Potential SSH Scan 198.51.100.31 203.0.113.10
2026-10-12 06:11 ET POLICY curl User-Agent 198.51.100.31 203.0.113.10
2026-10-12 08:39 ET SCAN Nmap Scripting Engine 198.51.100.14 203.0.113.10
2026-10-12 04:01 ET SCAN Potential SSH Scan 198.51.100.17 203.0.113.10
2026-10-12 03:43 ET POLICY curl User-Agent 198.51.100.15 203.0.113.10
2026-10-12 06:07 ET POLICY curl User-Agent 198.51.100.12 203.0.113.10
2026-10-12 03:34 ET SCAN Nmap Scripting Engine 198.51.100.22 203.0.113.10
2026-10-12 02:14 ET SCAN Nmap Scripting Engine 198.51.100.15 203.0.113.10
2026-10-12 06:07 ET SCAN Nmap Scripting Engine 198.51.100.26 203.0.113.10
2026-10-12 00:52 ET WEB_SERVER WordPress login bruteforce 198.51.100.26 203.0.113.10
2026-10-12 01:46 ET SCAN Potential SSH Scan 198.51.100.19 203.0.113.10
2026-10-12 08:22 ET POLICY curl User-Agent 198.51.100.34 203.0.113.10
2026-10-12 08:05 ET SCAN Nmap Scripting Engine 198.51.100.19 203.0.113.10
2026-10-12 00:18 ET SCAN Potential SSH Scan 198.51.100.16 203.0.113.10
2026-10-12 09:02 ET WEB_SERVER WordPress login bruteforce 198.51.100.24 203.0.113.10
2026-10-12 03:04 ET WEB_SERVER WordPress login bruteforce 198.51.100.13 203.0.113.10
2026-10-12 06:54 ET SCAN Potential SSH Scan 198.51.100.21 203.0.113.10
2026-10-12 01:36 ET WEB_SERVER SQL Injection Attempt 198.51.100.19 203.0.113.10
2026-10-12 02:42 ET SCAN Nmap Scripting Engine 198.51.100.14 203.0.113.10
2026-10-12 03:43 ET WEB_SERVER SQL Injection Attempt 198.51.100.26 203.0.113.10
2026-10-12 00:23 ET POLICY curl User-Agent 198.51.100.16 203.0.113.10
2026-10-12 03:59 ET WEB_SERVER WordPress login bruteforce 198.51.100.30 203.0.113.10

Alerte Suricata fără o stivă ELK

Suricata își scrie constatările în eve.json, câte un obiect JSON pe eveniment, iar sfatul obișnuit este să trimiteți totul în Elasticsearch și să vă uitați prin Kibana. Pe un cluster are sens. Pe un singur VPS înseamnă să țineți în funcțiune un motor de căutare, un colector de jurnale și un server de panouri — câțiva gigaocteți de memorie și un al doilea sistem de întreținut — doar ca să citiți alerte de pe aceeași mașină pe care erau deja scrise.

Pagina citește eve.json direct, precum și fast.log atunci când asta produce compilarea dumneavoastră. Arată alertele din ultimele douăzeci și patru de ore grupate pe categorii, adresele care generează cele mai multe dintre ele și semnăturile individuale cu sursă, destinație, protocol și severitate.

Dacă Suricata rulează, dar nu raportează nimic, cauza stă aproape întotdeauna în reguli, nu în trafic: o instalare proaspătă nu conține nicio semnătură până când suricata-update nu rulează măcar o dată. Cealaltă surpriză este severitatea. Cea mai mare parte din ce raportează un senzor expus este scanare de severitate joasă din care nu iese niciodată nimic, așa că citește categoriile înainte de contor.

Un senzor pe fir are o limită de care vă împiedicați constant: traficul criptat îi apare ca un șir de octeți. Va spune că de la adresa asta a venit o conexiune către site-ul dumneavoastră, dar nu va spune că în cerere era o încercare de injecție SQL. Asta o citește ModSecurity, în interiorul serverului web, după decriptare. Cele două nu se înlocuiesc: una privește rețeaua din afară, cealaltă cererea dinăuntru.