SELKS 快速上手:Docker 四条命令部署免费 Suricata 网络监控平台【免费下载链接】Clear-NDR-ISOA Suricata based NDR distribution项目地址: https://gitcode.com/GitHub_Trending/se/Clear-NDR-ISO内网疑似被渗透,你想从镜像流量里还原攻击路径,却缺少现成的分析平台。SELKS 是 Stamus Networks 开源的 NDR(网络检测与响应)发行版,把 Suricata 网络监控引擎、Elasticsearch 日志存储与 Scirius 狩猎界面预集成到一起,省掉多工具拼接的配置工作量。预置的 SN-OVERVIEW 仪表板:流量、告警与各协议事件集中呈现项目定位:开箱即用的 Debian NDR 发行版SELKS 基于 Debian 构建,采用 GPLv3 许可,名字来自五个组件首字母:Suricata、Elasticsearch、Logstash、Kibana、Scirius,后加入的 EveBox、Arkime、CyberChef 不在缩写内。它提供两种交付形态:Docker Compose 版:支持 Docker 的 Linux 或 Windows 上分钟级拉起,适合多数场景ISO 版:完整系统镜像,面向气隙(无外网)环境、裸机或虚拟机安装ISO 版安装后的桌面环境,浏览器中内置各组件入口仓库里同时打包了预置仪表板、定时任务与日志轮转配置,安装后只需处理流量接入和账号设置。Docker 最简部署步骤git clone https://gitcode.com/GitHub_Trending/se/Clear-NDR-ISO cd Clear-NDR-ISO/docker/ ./easy-setup.sh docker-compose up -deasy-setup.sh 会检查 Docker 与 Compose 版本、生成自签名证书并把配置写入.env,运行过程中提示选择要监控的网卡。启动后浏览器访问https://服务器IP/,用默认账号selks-user/selks-user登录,进入 Scirius 入口,仪表板与狩猎界面都从这跳转;首次登录记得在左上角菜单的 Account settings 里改密码。硬件要求:最低 2 核、8GB 内存、10GB 磁盘;推荐 4 核以上、16GB 内存、200GB 起步的 SSD,磁盘占用随规则量与流量增长。核心能力:沿数据流看 SELKS 如何工作Suricata 流量接入Suricata 以容器运行,直接捕获安装时选定的网卡。抓包方式在 SELKS6 附加配置 中调整,选定网卡即开始分析,主机侧无需装任何代理。深度包检测与多协议告警SELKS 内所有数据都由 Suricata 产生:深度包检测命中规则时输出告警,同时对 HTTP、TLS、DNS、SMB、Kerberos、SMTP 等数十种协议生成结构化日志,还能提取流量中出现的文件。告警与协议事件自动分类,不必自行编写解析器。日志解析与 Elasticsearch 索引Suricata 输出 Eve JSON 日志,由 Logstash 管道 解析后写入 Elasticsearch,索引结构由 索引模板 定义。入库即可检索,历史事件可按时间与协议聚合回看。预置仪表板与 Scirius 威胁狩猎Kibana 内置 28 个以上仪表板、400 多个可视化与 24 个预置查询,覆盖 SN-ALERTS、SN-HTTP、SN-DNS、SN-TLS、SN-FILE-Transactions、SN-KRB5 等场景,EveBox 提供事件浏览界面。SN-KRB5 仪表板:跟踪 Windows 域环境的 Kerberos 认证活动Scirius 是专为 Suricata 事件设计的狩猎界面:预定义狩猎过滤器集,配合上下文视图从一条告警逐层下钻到关联流量与主机。围绕单条告警展开的上下文视图,展示相关流量与协议事件规则管理与自动同步在 Scirius 中启用或禁用规则源、编辑规则集,规则经共享卷传递给 Suricata 加载。系统内置每日定时任务 scirius-update-suri-rules.sh,自动把最新规则同步到引擎,规则维护不需要天天手动操作。进阶玩法手动同步 Suricata 检测规则Scirius 改完规则后,可立即强制写入引擎,不必等每日任务:docker exec scirius python /opt/scirius/manage.py updatesuricata非交互模式指定监控网卡无人值守安装时,网卡、ES 内存上限与数据目录都可用参数传入:./easy-setup.sh -n -i eth0 --es-memory 4G多网卡用多个-i追加。参数说明见easy-setup.sh自带的--help。调整数据保留与日志轮转索引命名与结构由 elasticsearch7-template.json 定义,磁盘紧张时可按需修改;Suricata 本地日志的轮转由 logrotate 配置 控制。ISO 版本迁移与 Kubernetes 部署仓库附带 ISO 版的逐级升级脚本:SELKS3→4、SELKS4→5、SELKS5→6,按版本顺序在旧系统上执行即可。kubernetes/ 目录提供 K8s 部署变体,默认 FilebeatLogstash,也可换用更省内存的 Fluent-bitFluentd。典型适用场景中小企业日常监控零许可成本,单机即可承载中小流量28 个以上仪表板开箱可用,告警直接可视化适合安全团队小、运维人力有限、希望快速见效的单位教学与实验环境狩猎界面与上下文视图便于学生练习下钻分析可以编写自己的检测规则并立即验证效果ISO 版可装入虚拟机,适合无外网的机房教室个人安全学习真实环境里学 Suricata 加 ELK 的完整数据链路doc/example-logs 提供 PSEXEC 横向移动等真实 Suricata 日志样例实验机跑防御测试,环境可控、成本为零常见问题排查浏览器无法访问 Web 界面现象:443 端口无响应。排查:先docker-compose ps确认各容器均为 Up;再确认防火墙放行 443;最后docker-compose logs nginx查看网关容器日志定位错误。Suricata 未捕获到流量现象:仪表板无数据。排查:核对安装时选定的网卡是否为正确的镜像口;确认 Scirius 中规则已启用;查看docker-compose logs suricata有无抓包报错。Elasticsearch 内存不足现象:ES 容器反复重启。排查:ES 容器内存上限默认 3G,可用安装参数--es-memory或修改.env中的ELASTIC_MEMORY调大,然后重启容器。遇到更复杂的问题,可查官方 Wiki 的部署文档、到 Discord 社区提问,或直接向项目提交 Issue。写在最后SELKS 的价值,是把检测、存储、可视化、狩猎与规则维护这一串通常需要数周串起来的工具,压缩成一套一条命令拉起的镜像:接上网卡就有数据,之后只需专注安全分析。找一台 8GB 内存的机器,按上文四条命令完成首次部署,即可开始你的网络监控实践。面向企业级需求,Stamus Networks 另提供商业产品 Stamus Security Platform(SSP),它是与 SELKS 相互独立的另一套系统,选型时可对照官方资料评估。【免费下载链接】Clear-NDR-ISOA Suricata based NDR distribution项目地址: https://gitcode.com/GitHub_Trending/se/Clear-NDR-ISO创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
