Suricata IDS — сетевой детектор

Купить Self-Hosted Protection
Live
Demo
Установлен, но служба не запущена. Запустите и включите автозапуск:
sudo systemctl enable --now suricata
Как настроить (FAQ)
Suricata
Не запущен
IDS / IPS
Алертов за 24 ч
188
Алертов за 24 ч
Топ категорий
5
Категория
Топ источников
8
IP-адрес
Топ категорий
Attempted Information Leak 60
Web Application Attack 45
Misc Attack 34
Detection of a Network Scan 28
Potentially Bad Traffic 21
Топ источников
198.51.100.13 22
198.51.100.14 12
198.51.100.12 10
198.51.100.18 8
198.51.100.11 7
198.51.100.15 6
198.51.100.17 4
198.51.100.16 3
Последние алерты
Время Сигнатура Источник Назначение
2026-10-12 11:19 ET POLICY curl User-Agent 198.51.100.34 203.0.113.10
2026-10-12 10:41 ET SCAN Potential SSH Scan 198.51.100.17 203.0.113.10
2026-10-12 10:33 ET WEB_SERVER WordPress login bruteforce 198.51.100.33 203.0.113.10
2026-10-12 09:37 ET SCAN Nmap Scripting Engine 198.51.100.16 203.0.113.10
2026-10-12 08:53 ET WEB_SERVER SQL Injection Attempt 198.51.100.16 203.0.113.10
2026-10-12 10:43 ET POLICY curl User-Agent 198.51.100.34 203.0.113.10
2026-10-12 07:55 ET WEB_SERVER WordPress login bruteforce 198.51.100.28 203.0.113.10
2026-10-12 06:45 ET SCAN Potential SSH Scan 198.51.100.18 203.0.113.10
2026-10-12 09:42 ET SCAN Potential SSH Scan 198.51.100.31 203.0.113.10
2026-10-12 06:11 ET POLICY curl User-Agent 198.51.100.31 203.0.113.10
2026-10-12 08:39 ET SCAN Nmap Scripting Engine 198.51.100.14 203.0.113.10
2026-10-12 04:01 ET SCAN Potential SSH Scan 198.51.100.17 203.0.113.10
2026-10-12 03:43 ET POLICY curl User-Agent 198.51.100.15 203.0.113.10
2026-10-12 06:07 ET POLICY curl User-Agent 198.51.100.12 203.0.113.10
2026-10-12 03:34 ET SCAN Nmap Scripting Engine 198.51.100.22 203.0.113.10
2026-10-12 02:14 ET SCAN Nmap Scripting Engine 198.51.100.15 203.0.113.10
2026-10-12 06:07 ET SCAN Nmap Scripting Engine 198.51.100.26 203.0.113.10
2026-10-12 00:52 ET WEB_SERVER WordPress login bruteforce 198.51.100.26 203.0.113.10
2026-10-12 01:46 ET SCAN Potential SSH Scan 198.51.100.19 203.0.113.10
2026-10-12 08:22 ET POLICY curl User-Agent 198.51.100.34 203.0.113.10
2026-10-12 08:05 ET SCAN Nmap Scripting Engine 198.51.100.19 203.0.113.10
2026-10-12 00:18 ET SCAN Potential SSH Scan 198.51.100.16 203.0.113.10
2026-10-12 09:02 ET WEB_SERVER WordPress login bruteforce 198.51.100.24 203.0.113.10
2026-10-12 03:04 ET WEB_SERVER WordPress login bruteforce 198.51.100.13 203.0.113.10
2026-10-12 06:54 ET SCAN Potential SSH Scan 198.51.100.21 203.0.113.10
2026-10-12 01:36 ET WEB_SERVER SQL Injection Attempt 198.51.100.19 203.0.113.10
2026-10-12 02:42 ET SCAN Nmap Scripting Engine 198.51.100.14 203.0.113.10
2026-10-12 03:43 ET WEB_SERVER SQL Injection Attempt 198.51.100.26 203.0.113.10
2026-10-12 00:23 ET POLICY curl User-Agent 198.51.100.16 203.0.113.10
2026-10-12 03:59 ET WEB_SERVER WordPress login bruteforce 198.51.100.30 203.0.113.10

Оповещения Suricata без стека ELK

Suricata пишет свои находки в eve.json, по одному объекту JSON на событие, и привычный совет гласит отправить всё это в Elasticsearch и смотреть через Kibana. На кластере это разумно. На одном-единственном VPS это означает держать в работе поисковый движок, сборщик журналов и сервер дашбордов — несколько гигабайт памяти и вторую систему на обслуживании — только чтобы читать оповещения с той же машины, на которой они уже были записаны.

Эта страница читает eve.json напрямую, а также fast.log, когда именно его выдаёт ваша сборка. Она показывает оповещения за последние двадцать четыре часа, сгруппированные по категориям, адреса, порождающие их больше всех, и отдельные сигнатуры с источником, назначением, протоколом и уровнем серьёзности.

Если Suricata работает, но ничего не сообщает, причина почти всегда в правилах, а не в трафике: свежая установка не содержит ни одной сигнатуры, пока suricata-update не отработает хотя бы раз. Вторая неожиданность — серьёзность. Большая часть того, что докладывает открытый сенсор, — это сканирование низкого уровня, из которого никогда ничего не выходит, так что читайте категории раньше счётчика.

У сенсора на проводе есть предел, о который регулярно спотыкаются: зашифрованный трафик он видит как поток байтов. Он скажет, что с этого адреса пришло соединение к вашему сайту, но не скажет, что внутри запроса была попытка внедрения SQL, — это разбирает уже ModSecurity, внутри веб-сервера, после расшифровки. Инструменты не заменяют друг друга: один смотрит снаружи на сеть, другой изнутри на запрос.