Repolode
投稿する
stamparm

stamparm/maltrail

trailと呼ばれるインジケーターリストを使い、既知の悪意あるドメインなどへの通信を検知するネットワーク監視ツール。

GitHub で見る公式サイト
スター
8,630
フォーク
1,266
未解決の Issue
37
最終コミット
一昨日

これは何？

Maltrailはネットワークトラフィックを監視し、ドメイン、URL、IPアドレス、IP:portの組み合わせ、User-Agentの値を、trailと呼ばれるインジケーター群と照合します。検知ごとに、送信元、宛先、プロトコル、一致したtrail、分類、trailの情報源を含むイベントが記録されます。また、スキャン、DNS枯渇、DGAに似た問い合わせ、不審なダウンロード、プロキシプローブを検知するヒューリスティックも備えています。

システムは個別にデプロイできる2つのコンポーネントで構成されています。libpcapを基盤とするマルチスレッドのRustセンサーがトラフィックをキャプチャしてイベントを生成します。Pythonサーバーはローカルログまたはリモートセンサーからイベントを保存し、ライブ更新、検索、過去のログを対象としたハンティング、CSV/JSONエクスポートに対応したブラウザー向けレポート画面と、インジケーター検索用のHTTP APIを提供します。イベントはリモートサーバー、CEF形式のsyslog、またはJSON形式のLogstashにも送信できます。

trailは、静的なインジケーターセット、同梱の公開フィード、運用者が用意するカスタムリストやホワイトリストから取得します。静的セットはMITライセンスのエンジンとは別のライセンスで提供され、商用での再配布には許可が必要です。

主な機能

  • 01ドメイン、URL、IP、IP:portの組み合わせ、User-Agentをtrailのインジケーターリストと照合します。
  • 02libpcapを使うRustセンサーを搭載し、LinuxではオプションでPACKET_FANOUTによるキャプチャワーカーを利用できます。
  • 03ライブ更新、フィールドを考慮した検索、保持ログを対象とする過去のハンティングに対応したブラウザーダッシュボード。
  • 04バージョン管理できるプレーンテキスト形式のカスタムtrailとホワイトリスト。
  • 05イベントをリモートサーバー、syslog（CEF）、Logstash（JSON）に転送します。
  • 06検証用の`maltrail-sensor -T`コマンドと、オプションのPrometheusメトリクスを備えています。

ユースケース

  • 自宅やオフィスのネットワークで、既知のマルウェアインフラに接続するホストを検知する。
  • syslogまたはLogstashを通じて、ネットワークのインジケーターイベントをSIEMに取り込む。
  • ゲートウェイまたはネットワークタップにセンサーを設置し、外向きのDNSおよびHTTPトラフィックを監視する。
  • ドメインやIPが既知の悪意あるインジケーターリストに含まれているかを調べる。

クイックスタート

  1. 1

    インストーラーを実行します（スクリプトを事前に確認してください。root権限が必要です）

    curl -fsSL https://raw.githubusercontent.com/stamparm/maltrail/master/install.sh | sudo sh
  2. 2

    初回のトレイル構築が完了するまで待ちます（数分かかることがあります）

  3. 3

    http://127.0.0.1:8338 でダッシュボードを開き、デフォルトの認証情報を変更します

使う前に知っておきたいこと

  • デフォルトのログイン情報は admin / changeme! です。使用前に USERS を変更してください。
  • 初期設定の HTTP_ADDRESS は 0.0.0.0 で、変更しないとすべてのインターフェースでダッシュボードが公開されます。
  • 初回のトレイル構築には数分かかり、完了するまでトレイルの一致は検出されません。

トピック

#network-monitoring#intrusion-detection#malware#threat-intelligence#packet-capture#security-monitoring#attack-detection#python#rust#security

よくある質問

maltrail とは？
trailと呼ばれるインジケーターリストを使い、既知の悪意あるドメインなどへの通信を検知するネットワーク監視ツール。 Maltrailはネットワークトラフィックを監視し、ドメイン、URL、IPアドレス、IP:portの組み合わせ、User-Agentの値を、trailと呼ばれるインジケーター群と照合します。検知ごとに、送信元、宛先、プロトコル、一致したtrail、分類、trailの情報源を含むイベントが記録されます。また、スキャン、DNS枯渇、DGAに似た問い合わせ、不審なダウンロード、プロキシプローブを検知するヒューリスティックも備えています。
maltrail は無料で使えますか？ライセンスは？
maltrail は MIT ライセンスのオープンソースです。商用製品で使う前にライセンス条件を確認してください。
maltrail は今もメンテナンスされていますか？
活発にメンテナンス中。maltrail の最終コミットは 2026年10月18日 です。
maltrail は何に使えますか？
自宅やオフィスのネットワークで、既知のマルウェアインフラに接続するホストを検知する。 syslogまたはLogstashを通じて、ネットワークのインジケーターイベントをSIEMに取り込む。 ゲートウェイまたはネットワークタップにセンサーを設置し、外向きのDNSおよびHTTPトラフィックを監視する。 ドメインやIPが既知の悪意あるインジケーターリストに含まれているかを調べる。
maltrail のインストール方法は？
インストーラーを実行します（スクリプトを事前に確認してください。root権限が必要です）: curl -fsSL https://raw.githubusercontent.com/stamparm/maltrail/master/install.sh | sudo sh 初回のトレイル構築が完了するまで待ちます（数分かかることがあります） http://127.0.0.1:8338 でダッシュボードを開き、デフォルトの認証情報を変更します
maltrail はどこで入手できますか？
ソースコードとインストール手順は GitHub にあります：https://github.com/stamparm/maltrail

概要はプロジェクトの README をもとに AI が生成しています。GitHub の数値は毎日更新されます。

関連プロジェクト