Suricata IDS — nätverksdetektor

Köp Self-Hosted Protection
Live
Demo
Installerad men tjänsten är inte startad. Starta och aktivera autostart:
sudo systemctl enable --now suricata
Så konfigurerar du (FAQ)
Suricata
Inte startad
IDS / IPS
Aviseringar senaste 24 h
307
Aviseringar senaste 24 h
Toppkategorier
5
Kategori
Toppkällor
8
IP-adress
Toppkategorier
Attempted Information Leak 98
Web Application Attack 74
Misc Attack 55
Detection of a Network Scan 46
Potentially Bad Traffic 34
Toppkällor
198.51.100.12 24
198.51.100.14 21
198.51.100.17 17
198.51.100.18 17
198.51.100.11 16
198.51.100.15 15
198.51.100.13 11
198.51.100.16 5
Senaste varningarna
Tid Signatur Källa Mål
2026-10-12 05:49 ET WEB_SERVER SQL Injection Attempt 198.51.100.29 203.0.113.10
2026-10-12 05:42 ET WEB_SERVER SQL Injection Attempt 198.51.100.15 203.0.113.10
2026-10-12 05:19 ET SCAN Nmap Scripting Engine 198.51.100.29 203.0.113.10
2026-10-12 04:13 ET POLICY curl User-Agent 198.51.100.14 203.0.113.10
2026-10-12 04:45 ET SCAN Potential SSH Scan 198.51.100.22 203.0.113.10
2026-10-12 03:18 ET WEB_SERVER SQL Injection Attempt 198.51.100.27 203.0.113.10
2026-10-12 03:23 ET POLICY curl User-Agent 198.51.100.28 203.0.113.10
2026-10-12 01:49 ET WEB_SERVER SQL Injection Attempt 198.51.100.34 203.0.113.10
2026-10-12 03:38 ET SCAN Nmap Scripting Engine 198.51.100.23 203.0.113.10
2026-10-12 01:17 ET POLICY curl User-Agent 198.51.100.33 203.0.113.10
2026-10-12 02:06 ET POLICY curl User-Agent 198.51.100.29 203.0.113.10
2026-10-12 00:01 ET WEB_SERVER WordPress login bruteforce 198.51.100.28 203.0.113.10
2026-10-12 03:06 GPL WEB_SERVER /etc/passwd access 198.51.100.20 203.0.113.10
2026-10-11 23:30 ET WEB_SERVER SQL Injection Attempt 198.51.100.23 203.0.113.10
2026-10-12 01:31 ET WEB_SERVER SQL Injection Attempt 198.51.100.27 203.0.113.10
2026-10-11 21:03 ET SCAN Nmap Scripting Engine 198.51.100.31 203.0.113.10
2026-10-12 01:26 ET POLICY curl User-Agent 198.51.100.21 203.0.113.10
2026-10-11 19:12 ET SCAN Potential SSH Scan 198.51.100.26 203.0.113.10
2026-10-12 04:11 ET SCAN Potential SSH Scan 198.51.100.31 203.0.113.10
2026-10-12 00:49 GPL WEB_SERVER /etc/passwd access 198.51.100.26 203.0.113.10
2026-10-11 22:11 GPL WEB_SERVER /etc/passwd access 198.51.100.19 203.0.113.10
2026-10-11 19:53 ET WEB_SERVER WordPress login bruteforce 198.51.100.32 203.0.113.10
2026-10-11 20:25 GPL WEB_SERVER /etc/passwd access 198.51.100.35 203.0.113.10
2026-10-12 02:34 ET WEB_SERVER WordPress login bruteforce 198.51.100.33 203.0.113.10
2026-10-11 18:39 GPL WEB_SERVER /etc/passwd access 198.51.100.11 203.0.113.10
2026-10-11 14:27 GPL WEB_SERVER /etc/passwd access 198.51.100.35 203.0.113.10
2026-10-12 00:17 ET POLICY curl User-Agent 198.51.100.26 203.0.113.10
2026-10-11 21:20 GPL WEB_SERVER /etc/passwd access 198.51.100.14 203.0.113.10
2026-10-11 17:16 ET WEB_SERVER WordPress login bruteforce 198.51.100.26 203.0.113.10
2026-10-11 22:53 ET SCAN Potential SSH Scan 198.51.100.12 203.0.113.10

Suricata-larm utan en ELK-stack

Suricata skriver sina fynd till eve.json, ett JSON-objekt per händelse, och det gängse rådet är att skicka in alltihop i Elasticsearch och titta på det genom Kibana. På ett kluster är det förnuftigt. På en enda VPS betyder det att hålla igång en sökmotor, en logginsamlare och en instrumentpanelsserver — flera gigabyte minne och ett andra system att underhålla — för att läsa larm från samma maskin där de redan skrivits.

Den här sidan läser eve.json direkt, liksom fast.log när det är vad ditt bygge producerar. Den visar larmen från de senaste tjugofyra timmarna grupperade efter kategori, adresserna som orsakar flest av dem och de enskilda signaturerna med källa, mål, protokoll och allvarlighetsgrad.

Om Suricata kör men inte rapporterar något ligger orsaken nästan alltid i reglerna och inte i trafiken: en färsk installation innehåller inga signaturer förrän suricata-update körts minst en gång. Den andra överraskningen är allvarlighetsgraden. Det mesta som en exponerad sensor rapporterar är skanning av låg grad som aldrig blir något, så läs kategorierna före räknaren.

En sensor på ledningen har en gräns som man snubblar över med jämna mellanrum: krypterad trafik ser den som en ström av byte. Den säger att en anslutning till din webbplats kom från den här adressen, men inte att begäran bar på ett försök till SQL-injektion. Det läses av ModSecurity, inne i webbservern, efter dekrypteringen. De två ersätter inte varandra: den ena ser nätet utifrån, den andra begäran inifrån.