Suricata IDS — mrežni detektor

Kupi Self-Hosted Protection
Live
Demo
Instaliran, ali usluga nije pokrenuta. Pokrenite je i uključite automatsko pokretanje:
sudo systemctl enable --now suricata
Kako podesiti (FAQ)
Suricata
Nije pokrenut
IDS / IPS
Upozorenja za 24 h
210
Upozorenja za 24 h
Najčešće kategorije
5
Kategorija
Najčešći izvori
8
IP adresa
Najčešće kategorije
Attempted Information Leak 67
Web Application Attack 50
Misc Attack 38
Detection of a Network Scan 32
Potentially Bad Traffic 23
Najčešći izvori
198.51.100.15 24
198.51.100.18 24
198.51.100.14 23
198.51.100.11 18
198.51.100.17 15
198.51.100.12 13
198.51.100.16 10
198.51.100.13 8
Poslednji alarmi
Vreme Potpis Izvor Odredište
2026-10-13 04:52 ET SCAN Nmap Scripting Engine 198.51.100.27 203.0.113.10
2026-10-13 04:16 ET SCAN Potential SSH Scan 198.51.100.26 203.0.113.10
2026-10-13 04:26 ET SCAN Nmap Scripting Engine 198.51.100.30 203.0.113.10
2026-10-13 03:39 GPL WEB_SERVER /etc/passwd access 198.51.100.28 203.0.113.10
2026-10-13 04:29 ET SCAN Potential SSH Scan 198.51.100.23 203.0.113.10
2026-10-13 01:38 ET WEB_SERVER SQL Injection Attempt 198.51.100.16 203.0.113.10
2026-10-13 01:35 ET SCAN Nmap Scripting Engine 198.51.100.35 203.0.113.10
2026-10-13 04:16 ET POLICY curl User-Agent 198.51.100.24 203.0.113.10
2026-10-13 02:42 ET WEB_SERVER SQL Injection Attempt 198.51.100.14 203.0.113.10
2026-10-13 02:27 ET SCAN Potential SSH Scan 198.51.100.12 203.0.113.10
2026-10-12 23:05 ET WEB_SERVER SQL Injection Attempt 198.51.100.34 203.0.113.10
2026-10-13 03:30 ET WEB_SERVER SQL Injection Attempt 198.51.100.26 203.0.113.10
2026-10-13 03:30 ET WEB_SERVER SQL Injection Attempt 198.51.100.13 203.0.113.10
2026-10-13 01:37 GPL WEB_SERVER /etc/passwd access 198.51.100.32 203.0.113.10
2026-10-13 03:31 GPL WEB_SERVER /etc/passwd access 198.51.100.19 203.0.113.10
2026-10-12 19:00 ET POLICY curl User-Agent 198.51.100.14 203.0.113.10
2026-10-13 01:10 ET SCAN Potential SSH Scan 198.51.100.31 203.0.113.10
2026-10-12 20:53 ET POLICY curl User-Agent 198.51.100.28 203.0.113.10
2026-10-13 01:41 ET SCAN Nmap Scripting Engine 198.51.100.12 203.0.113.10
2026-10-12 22:22 GPL WEB_SERVER /etc/passwd access 198.51.100.17 203.0.113.10
2026-10-12 20:37 ET WEB_SERVER WordPress login bruteforce 198.51.100.16 203.0.113.10
2026-10-12 20:54 ET WEB_SERVER SQL Injection Attempt 198.51.100.28 203.0.113.10
2026-10-13 00:17 ET SCAN Nmap Scripting Engine 198.51.100.19 203.0.113.10
2026-10-12 21:42 GPL WEB_SERVER /etc/passwd access 198.51.100.24 203.0.113.10
2026-10-13 02:11 ET WEB_SERVER WordPress login bruteforce 198.51.100.31 203.0.113.10
2026-10-12 23:20 ET SCAN Potential SSH Scan 198.51.100.14 203.0.113.10
2026-10-12 20:26 ET SCAN Potential SSH Scan 198.51.100.17 203.0.113.10
2026-10-12 15:54 ET WEB_SERVER WordPress login bruteforce 198.51.100.14 203.0.113.10
2026-10-12 11:34 ET WEB_SERVER WordPress login bruteforce 198.51.100.21 203.0.113.10
2026-10-12 16:09 ET SCAN Potential SSH Scan 198.51.100.24 203.0.113.10

Suricata upozorenja bez ELK steka

Suricata upisuje svoje nalaze u eve.json, po jedan JSON objekat na događaj, a uobičajen savet kaže da se sve to pošalje u Elasticsearch i gleda kroz Kibanu. Na klasteru to ima smisla. Na jednom jedinom VPS-u znači držati u pogonu pretraživač, sakupljač zapisa i server sa kontrolnim tablama — nekoliko gigabajta memorije i drugi sistem za održavanje — samo da bi se čitala upozorenja sa iste mašine na kojoj su već bila zapisana.

Ova stranica čita eve.json neposredno, kao i fast.log kada baš to proizvodi vaša verzija. Prikazuje upozorenja iz poslednja dvadeset četiri sata grupisana po kategoriji, adrese koje ih izazivaju najviše i pojedinačne potpise sa izvorom, odredištem, protokolom i težinom.

Ako Suricata radi, a ništa ne javlja, uzrok je skoro uvek u pravilima, a ne u saobraćaju: sveža instalacija ne sadrži nijedan potpis dok se suricata-update ne pokrene bar jednom. Drugo iznenađenje je težina. Većina onoga što izloženi senzor javlja jeste skeniranje niske težine iz kog nikada ništa ne proistekne, pa čitajte kategorije pre brojača.

Senzor na vodu ima granicu o koju se redovno spotiče: šifrovani saobraćaj vidi kao niz bajtova. Reći će da je sa ove adrese došla veza ka vašem sajtu, ali neće reći da je u zahtevu bio pokušaj SQL injekcije. To čita ModSecurity, unutar veb servera, posle dešifrovanja. Njih dvoje se ne zamenjuju: jedan gleda mrežu spolja, drugi zahtev iznutra.