Suricata IDS — 网络检测器

购买 Self-Hosted Protection
Live
Demo
已安装，但服务未运行。请启动并设置开机自启：
sudo systemctl enable --now suricata
如何配置（FAQ）
Suricata
未运行
IDS / IPS
24 小时告警数
188
24 小时告警数
热门类别
5
类别
主要来源
8
IP 地址
热门类别
Attempted Information Leak 60
Web Application Attack 45
Misc Attack 34
Detection of a Network Scan 28
Potentially Bad Traffic 21
主要来源
198.51.100.13 22
198.51.100.14 12
198.51.100.12 10
198.51.100.18 8
198.51.100.11 7
198.51.100.15 6
198.51.100.17 4
198.51.100.16 3
最新告警
时间 签名 来源 目标
2026-10-12 11:19 ET POLICY curl User-Agent 198.51.100.34 203.0.113.10
2026-10-12 10:41 ET SCAN Potential SSH Scan 198.51.100.17 203.0.113.10
2026-10-12 10:33 ET WEB_SERVER WordPress login bruteforce 198.51.100.33 203.0.113.10
2026-10-12 09:37 ET SCAN Nmap Scripting Engine 198.51.100.16 203.0.113.10
2026-10-12 08:53 ET WEB_SERVER SQL Injection Attempt 198.51.100.16 203.0.113.10
2026-10-12 10:43 ET POLICY curl User-Agent 198.51.100.34 203.0.113.10
2026-10-12 07:55 ET WEB_SERVER WordPress login bruteforce 198.51.100.28 203.0.113.10
2026-10-12 06:45 ET SCAN Potential SSH Scan 198.51.100.18 203.0.113.10
2026-10-12 09:42 ET SCAN Potential SSH Scan 198.51.100.31 203.0.113.10
2026-10-12 06:11 ET POLICY curl User-Agent 198.51.100.31 203.0.113.10
2026-10-12 08:39 ET SCAN Nmap Scripting Engine 198.51.100.14 203.0.113.10
2026-10-12 04:01 ET SCAN Potential SSH Scan 198.51.100.17 203.0.113.10
2026-10-12 03:43 ET POLICY curl User-Agent 198.51.100.15 203.0.113.10
2026-10-12 06:07 ET POLICY curl User-Agent 198.51.100.12 203.0.113.10
2026-10-12 03:34 ET SCAN Nmap Scripting Engine 198.51.100.22 203.0.113.10
2026-10-12 02:14 ET SCAN Nmap Scripting Engine 198.51.100.15 203.0.113.10
2026-10-12 06:07 ET SCAN Nmap Scripting Engine 198.51.100.26 203.0.113.10
2026-10-12 00:52 ET WEB_SERVER WordPress login bruteforce 198.51.100.26 203.0.113.10
2026-10-12 01:46 ET SCAN Potential SSH Scan 198.51.100.19 203.0.113.10
2026-10-12 08:22 ET POLICY curl User-Agent 198.51.100.34 203.0.113.10
2026-10-12 08:05 ET SCAN Nmap Scripting Engine 198.51.100.19 203.0.113.10
2026-10-12 00:18 ET SCAN Potential SSH Scan 198.51.100.16 203.0.113.10
2026-10-12 09:02 ET WEB_SERVER WordPress login bruteforce 198.51.100.24 203.0.113.10
2026-10-12 03:04 ET WEB_SERVER WordPress login bruteforce 198.51.100.13 203.0.113.10
2026-10-12 06:54 ET SCAN Potential SSH Scan 198.51.100.21 203.0.113.10
2026-10-12 01:36 ET WEB_SERVER SQL Injection Attempt 198.51.100.19 203.0.113.10
2026-10-12 02:42 ET SCAN Nmap Scripting Engine 198.51.100.14 203.0.113.10
2026-10-12 03:43 ET WEB_SERVER SQL Injection Attempt 198.51.100.26 203.0.113.10
2026-10-12 00:23 ET POLICY curl User-Agent 198.51.100.16 203.0.113.10
2026-10-12 03:59 ET WEB_SERVER WordPress login bruteforce 198.51.100.30 203.0.113.10

不搭 ELK 也能看 Suricata 的告警

Suricata 把它的发现写进 eve.json，每个事件一个 JSON 对象，而通行的建议是把这些统统送进 Elasticsearch，再透过 Kibana 去看。在集群上这说得通。在一台孤零零的 VPS 上，它却意味着要养着一个搜索引擎、一个日志采集器和一台仪表盘服务器——好几个 GB 的内存和第二套需要维护的系统——只为了从告警本就写下的那台机器上把它们读出来。

这一页直接读取 eve.json，若你的构建产出的是 fast.log，也一并读取。它把过去二十四小时的告警按类别分组展示，列出制造告警最多的地址，以及逐条特征及其来源、目的、协议与严重级别。

如果 Suricata 在跑却什么也不报，原因几乎总在规则而不在流量：全新安装在 suricata-update 至少跑过一次之前，一条特征都没有。另一个意外之处是严重级别。一台暴露在外的探针所报告的内容，多半是永远成不了事的低级别扫描，所以先读类别，再看计数。

线上的探针有一条常被绊到的界线：加密流量在它眼里只是一串字节。它会说这个地址向你的站点发起了连接，却说不出请求里藏着一次 SQL 注入尝试。那要由 ModSecurity 来读，在 Web 服务器内部、解密之后。两者并不互相取代：一个从外面看网络，一个从里面看请求。