Repolode
Enviar
stamparm

stamparm/maltrail

Monitor de tráfico de red que detecta comunicaciones con dominios, IP, URL y User-Agents maliciosos conocidos mediante listas de indicadores llamadas trails.

Ver en GitHubSitio web
Estrellas
8,630
Forks
1,266
Issues abiertos
37
Último commit
ayer

¿Qué es?

Maltrail supervisa el tráfico de red y compara dominios, URL, direcciones IP, pares IP:puerto y valores de User-Agent con un conjunto de indicadores llamados trails. Cada detección se registra como un evento con origen, destino, protocolo, trail coincidente, clasificación y fuente del trail. También incluye heurísticas para detectar escaneos, agotamiento de DNS, consultas similares a DGA, descargas sospechosas y sondeos de proxy.

El sistema consta de dos componentes que se pueden desplegar por separado. Un sensor multihilo escrito en Rust y basado en libpcap captura el tráfico y genera eventos. Un servidor Python almacena eventos de registros locales o de sensores remotos y ofrece una interfaz de informes en el navegador con actualizaciones en tiempo real, búsqueda, búsqueda retrospectiva y exportación a CSV/JSON, además de una API HTTP para consultar indicadores. También es posible enviar eventos a un servidor remoto, a syslog en formato CEF o a Logstash en formato JSON.

Los trails proceden de un conjunto estático de indicadores, feeds públicos incluidos y listas personalizadas y listas blancas proporcionadas por el operador. El conjunto estático tiene una licencia independiente de la licencia MIT del motor, y su redistribución comercial requiere permiso.

Funciones clave

  • 01Compara dominios, URL, IP, pares IP:puerto y User-Agents con listas de indicadores trail.
  • 02Sensor en Rust que usa libpcap, con trabajadores de captura Linux PACKET_FANOUT opcionales.
  • 03Panel en el navegador con actualizaciones en tiempo real, búsqueda por campos y búsqueda retrospectiva en los registros conservados.
  • 04Trails personalizados y listas blancas en texto plano que se pueden gestionar con control de versiones.
  • 05Reenvía eventos a servidores remotos, syslog (CEF) o Logstash (JSON).
  • 06Incluye el comando de validación `maltrail-sensor -T` y métricas opcionales de Prometheus.

Casos de uso

  • Detectar equipos de una red doméstica o de oficina que se comunican con infraestructura de malware conocida.
  • Enviar eventos de indicadores de red a un SIEM mediante syslog o Logstash.
  • Ejecutar un sensor en una puerta de enlace o un punto de captura para supervisar el tráfico DNS y HTTP saliente.
  • Consultar si un dominio o una IP aparece en listas conocidas de indicadores maliciosos.

Inicio rápido

  1. 1

    Ejecuta el instalador (revisa antes el script; necesita permisos de root)

    curl -fsSL https://raw.githubusercontent.com/stamparm/maltrail/master/install.sh | sudo sh
  2. 2

    Espera a que termine la compilación inicial de trail (puede tardar varios minutos)

  3. 3

    Abre el panel en http://127.0.0.1:8338 y cambia las credenciales predeterminadas

Antes de usarlo

  • El inicio de sesión predeterminado es admin / changeme!; cambia USERS antes de usarlo.
  • El HTTP_ADDRESS incluido es 0.0.0.0, lo que expone el panel en todas las interfaces si no lo cambias.
  • La compilación inicial de trail tarda varios minutos y no se detectan coincidencias de trail hasta que termina.

Temas

#network-monitoring#intrusion-detection#malware#threat-intelligence#packet-capture#security-monitoring#attack-detection#python#rust#security

Preguntas frecuentes

¿Qué es maltrail?
Monitor de tráfico de red que detecta comunicaciones con dominios, IP, URL y User-Agents maliciosos conocidos mediante listas de indicadores llamadas trails. Maltrail supervisa el tráfico de red y compara dominios, URL, direcciones IP, pares IP:puerto y valores de User-Agent con un conjunto de indicadores llamados trails. Cada detección se registra como un evento con origen, destino, protocolo, trail coincidente, clasificación y fuente del trail. También incluye heurísticas para detectar escaneos, agotamiento de DNS, consultas similares a DGA, descargas sospechosas y sondeos de proxy.
¿maltrail es gratuito? ¿Qué licencia tiene?
maltrail es open source bajo la licencia MIT. Revisa los términos de la licencia antes de usarlo en productos comerciales.
¿maltrail sigue mantenido?
Mantenimiento activo. El último commit de maltrail fue el 18 oct 2026.
¿Para qué puedo usar maltrail?
Detectar equipos de una red doméstica o de oficina que se comunican con infraestructura de malware conocida. Enviar eventos de indicadores de red a un SIEM mediante syslog o Logstash. Ejecutar un sensor en una puerta de enlace o un punto de captura para supervisar el tráfico DNS y HTTP saliente. Consultar si un dominio o una IP aparece en listas conocidas de indicadores maliciosos.
¿Cómo se instala maltrail?
Ejecuta el instalador (revisa antes el script; necesita permisos de root): curl -fsSL https://raw.githubusercontent.com/stamparm/maltrail/master/install.sh | sudo sh Espera a que termine la compilación inicial de trail (puede tardar varios minutos) Abre el panel en http://127.0.0.1:8338 y cambia las credenciales predeterminadas
¿Dónde consigo maltrail?
El código fuente y las instrucciones de instalación están en GitHub: https://github.com/stamparm/maltrail

Resumen generado por IA a partir del README del proyecto. Las estadísticas de GitHub se actualizan a diario.

Proyectos relacionados