**Maltrail** — это система обнаружения вредоносного сетевого трафика, основанная на анализе огромного числа «следов» известных угроз и применении эвристик для поиска новых.
#Maltrail #NetworkSecurity #InfoSec

🛡 **Что такое Maltrail?**
Это инструмент, который работает как охотник за трекерами: анализирует сетевой трафик в поисках #IoC — индикаторов компрометации. Он проверяет домены, URL, IP-адреса и заголовки (например, *User-Agent*) по публичным блэклистам (более 70 источников — #AbuseIPDB, #AlienVault, #Phishtank) и по статической базе данных (тысячи записей о #Malware и #APT-группах). Дополнительно используются эвристические методы для выявления подозрительной активности.
#ThreatDetection #CyberSecurity

🏗 **Как устроена архитектура?**
Система состоит из трёх ключевых компонентов:

· **Sensor** — запускается на узле мониторинга (например, сервер с зеркалированием трафика), анализирует пакеты и ищет совпадения со «следами». Требуются root-права.
#NetworkMonitoring

· **Server** — принимает и хранит события от сенсоров, предоставляет API и веб-интерфейс для отчётов. Может работать на той же машине, что и сенсор.
#SIEM

· **Client** — веб-интерфейс для просмотра отчётов. Реализован по принципу «толстого клиента»: вся обработка данных происходит в браузере, что позволяет отображать огромные объёмы событий.
#WebUI #BigData

🚀 **Быстрый старт (основные шаги)**

Для Ubuntu/Debian выполните:

1. Установка зависимостей

```
sudo apt-get install git python3 python3-pip libpcap-dev
sudo pip3 install pcapy-ng
```

2. Клонирование репозитория

```
git clone --depth 1 https://github.com/stamparm/maltrail.git
cd maltrail
```

3. Запуск сенсора

```
sudo python3 sensor.py
```

4. В новом терминале — запуск сервера

```
python3 server.py
```

После запуска веб-интерфейс будет доступен по адресу
[http://127.0.0.1:8338](http://127.0.0.1:8338) (логин: **admin**, пароль: **changeme!**).
#SelfHosted #OpenSource

✨ **Ключевые возможности**

· **Обнаружение угроз** — выявляет известные угрозы через блэклисты и потенциально новые с помощью эвристик.
#ThreatHunting

· **Гибкость развёртывания** — можно использовать только сенсор для локального логирования или полную систему с сервером и веб-интерфейсом. Доступен #Docker-образ.

· **Пассивный мониторинг** — обычно работает через зеркалирование трафика (SPAN-порт), не вмешиваясь в работу сети.
#PassiveMonitoring

· **Лёгкий веб-интерфейс** — отчёты формируются прямо в браузере, снижая нагрузку на сервер.
#Performance

🔗 Репозиторий: [https://github.com/stamparm/maltrail](https://github.com/stamparm/maltrail)

Крепость под наблюдением: ставим Maltrail и ловим «шпионов» (Часть 2)

Привет, Хабр! В первой части нашего путешествия мы превратили голый VPS в маленькую крепость. Мы создали пользователя с sudo, настроили вход по SSH-ключам, выставили на стражу файрвол UFW и наняли вышибалу Fail2ban. Теперь лобовые brute-force атаки и автоматические сканеры разбиваются о наши стены, не доставляя хлопот. Мы победили, верно? Не совсем. Наша крепость неприступна, но она слепа . Мы отбиваем тех, кто ломится в ворота, но совершенно не видим, что происходит на периметре. Что если уязвимость найдется в нашем веб-сервере? Что если одна из запущенных нами программ начнет слать странный трафик, став частью ботнета? Здесь нам нужна "сигнализация". Система, которая станет нашими глазами и ушами, и поднимет тревогу при малейшем подозрительном движении. Сегодня мы установим именно такую — Maltrail .

https://habr.com/ru/articles/926414/

#maltrail #ids #linux #infosec #vps #nginx #fail2ban #кибербезопасность #безопасность_linux #мониторинг_трафика

Öffentliche IP-Adressen in OPNsense mit maltrail absichern (plus Workaround für sensor.py Problem)

Mit #maltrail und #OPNsense deine öffentlichen IP-Adressen so absichern, dass Angriffe mittels Blocklists und Heuristik automatisch abgewehrt werden.

https://andersgood.de/blog/oeffentliche-ip-adressen-in-opnsense-mit-maltrail-absichern

#SWEETGOOD #andersGOOD #Tutorial #Security #DevSecOps

I'm looking for #OSSec guidance, I remember when #tripwire was suggested for detecting #rootkits, but there's so many options, with #Zeek and #Maltrail. #HIDS #IntrusionDetection

I thought OSSEC with the GUI looked nice, especially if there was a central monitoring server that agents could report to. Zeek looks more like that but looks like it may have to sit at the router, which is annoying, and doesn't detect rootkits at all. My end goal is preventing SIP phone fraud.

https://linuxsecurity.expert/tools/samhain/alternatives/

Installation und Nutzung des Maltrail Detection Systems auf Ubuntu 18.04 LTS