Suricata IDS — bộ dò mạng

Mua Self-Hosted Protection
Live
Demo
Đã cài nhưng dịch vụ chưa chạy. Hãy khởi động và bật tự chạy khi khởi động:
sudo systemctl enable --now suricata
Cách cấu hình (FAQ)
Suricata
Chưa chạy
IDS / IPS
Cảnh báo trong 24 giờ
170
Cảnh báo trong 24 giờ
Nhóm hàng đầu
5
Danh mục
Nguồn hàng đầu
8
Địa chỉ IP
Nhóm hàng đầu
Attempted Information Leak 54
Web Application Attack 41
Misc Attack 31
Detection of a Network Scan 26
Potentially Bad Traffic 19
Nguồn hàng đầu
198.51.100.17 18
198.51.100.18 13
198.51.100.13 12
198.51.100.16 12
198.51.100.14 11
198.51.100.11 8
198.51.100.12 4
198.51.100.15 3
Cảnh báo gần đây
Thời gian Chữ ký Nguồn Đích
2026-10-12 22:36 ET WEB_SERVER WordPress login bruteforce 198.51.100.21 203.0.113.10
2026-10-12 22:00 ET WEB_SERVER WordPress login bruteforce 198.51.100.34 203.0.113.10
2026-10-12 22:14 ET WEB_SERVER SQL Injection Attempt 198.51.100.20 203.0.113.10
2026-10-12 21:12 ET SCAN Nmap Scripting Engine 198.51.100.16 203.0.113.10
2026-10-12 20:28 GPL WEB_SERVER /etc/passwd access 198.51.100.15 203.0.113.10
2026-10-12 20:56 ET SCAN Potential SSH Scan 198.51.100.21 203.0.113.10
2026-10-12 19:51 ET SCAN Nmap Scripting Engine 198.51.100.30 203.0.113.10
2026-10-12 21:19 ET SCAN Potential SSH Scan 198.51.100.31 203.0.113.10
2026-10-12 18:54 ET SCAN Potential SSH Scan 198.51.100.31 203.0.113.10
2026-10-12 18:58 ET POLICY curl User-Agent 198.51.100.32 203.0.113.10
2026-10-12 17:48 ET POLICY curl User-Agent 198.51.100.23 203.0.113.10
2026-10-12 21:30 ET SCAN Nmap Scripting Engine 198.51.100.27 203.0.113.10
2026-10-12 15:37 GPL WEB_SERVER /etc/passwd access 198.51.100.32 203.0.113.10
2026-10-12 15:08 ET SCAN Potential SSH Scan 198.51.100.27 203.0.113.10
2026-10-12 16:39 ET POLICY curl User-Agent 198.51.100.22 203.0.113.10
2026-10-12 20:50 ET POLICY curl User-Agent 198.51.100.28 203.0.113.10
2026-10-12 13:51 ET POLICY curl User-Agent 198.51.100.29 203.0.113.10
2026-10-12 17:54 ET SCAN Nmap Scripting Engine 198.51.100.32 203.0.113.10
2026-10-12 10:52 ET SCAN Potential SSH Scan 198.51.100.29 203.0.113.10
2026-10-12 19:14 ET SCAN Nmap Scripting Engine 198.51.100.19 203.0.113.10
2026-10-12 13:25 ET SCAN Nmap Scripting Engine 198.51.100.21 203.0.113.10
2026-10-12 09:48 ET WEB_SERVER WordPress login bruteforce 198.51.100.15 203.0.113.10
2026-10-12 17:57 GPL WEB_SERVER /etc/passwd access 198.51.100.17 203.0.113.10
2026-10-12 13:11 ET SCAN Potential SSH Scan 198.51.100.13 203.0.113.10
2026-10-12 16:19 ET WEB_SERVER WordPress login bruteforce 198.51.100.14 203.0.113.10
2026-10-12 18:08 GPL WEB_SERVER /etc/passwd access 198.51.100.21 203.0.113.10
2026-10-12 15:32 ET SCAN Potential SSH Scan 198.51.100.30 203.0.113.10
2026-10-12 05:00 ET WEB_SERVER WordPress login bruteforce 198.51.100.11 203.0.113.10
2026-10-12 08:00 ET SCAN Nmap Scripting Engine 198.51.100.27 203.0.113.10
2026-10-12 03:17 ET SCAN Nmap Scripting Engine 198.51.100.19 203.0.113.10

Cảnh báo Suricata mà không cần một ELK stack

Suricata ghi những gì nó tìm được vào eve.json, mỗi sự kiện một đối tượng JSON, và lời khuyên quen thuộc là đẩy tất cả sang Elasticsearch rồi xem qua Kibana. Trên một cụm máy thì điều đó hợp lý. Trên một VPS duy nhất, nó có nghĩa là phải nuôi một cỗ máy tìm kiếm, một bộ thu thập nhật ký và một máy chủ bảng điều khiển — vài gigabyte bộ nhớ và một hệ thống thứ hai phải chăm — chỉ để đọc những cảnh báo từ chính cỗ máy nơi chúng đã được ghi.

Trang này đọc thẳng eve.json, và cả fast.log khi bản dựng của bạn tạo ra tệp đó. Nó hiện các cảnh báo trong hai mươi bốn giờ qua nhóm theo phân loại, những địa chỉ sinh ra nhiều cảnh báo nhất, và từng mẫu nhận dạng kèm nguồn, đích, giao thức và mức nghiêm trọng.

Nếu Suricata đang chạy mà không báo gì, nguyên nhân gần như luôn nằm ở quy tắc chứ không phải lưu lượng: một bản cài mới không có mẫu nhận dạng nào cho tới khi suricata-update chạy ít nhất một lần. Bất ngờ còn lại là mức nghiêm trọng. Phần lớn những gì một cảm biến phơi ra ngoài báo về là hoạt động quét mức thấp không bao giờ dẫn tới đâu, vậy nên hãy đọc phân loại trước khi nhìn con số.

Cảm biến đặt trên đường truyền có một giới hạn mà người ta vấp phải thường xuyên: lưu lượng đã mã hóa với nó chỉ là một dòng byte. Nó sẽ báo rằng có kết nối tới trang của bạn đến từ địa chỉ này, nhưng không báo rằng trong yêu cầu có mưu toan chèn SQL. Cái đó do ModSecurity đọc, bên trong máy chủ web, sau khi giải mã. Hai thứ không thay thế nhau: một bên nhìn mạng từ ngoài, bên kia nhìn yêu cầu từ trong.