Repolode
Enviar
stamparm

stamparm/maltrail

Monitor de tráfego de rede que sinaliza comunicações com domínios, IPs, URLs e User-Agents maliciosos conhecidos usando listas de indicadores chamadas trails.

Ver no GitHubSite
Estrelas
8,630
Forks
1,266
Issues abertas
37
Último commit
ontem

O que é?

O Maltrail monitora o tráfego de rede e compara domínios, URLs, endereços IP, pares IP:porta e valores de User-Agent com um conjunto de indicadores chamados trails. Cada detecção é registrada como um evento com origem, destino, protocolo, trail correspondente, classificação e fonte do trail. A ferramenta também inclui heurísticas para identificar varreduras, esgotamento de DNS, consultas semelhantes às de DGA, downloads suspeitos e sondagens de proxy.

O sistema tem duas partes que podem ser implantadas separadamente. Um sensor multithread em Rust, baseado em libpcap, captura o tráfego e gera eventos. Um servidor em Python armazena eventos de logs locais ou de sensores remotos e oferece uma interface de relatórios no navegador, com atualizações em tempo real, busca, retro hunting e exportação para CSV/JSON, além de uma API HTTP para consultas de indicadores. Os eventos também podem ser enviados a um servidor remoto, ao syslog no formato CEF ou ao Logstash como JSON.

Os trails vêm de um conjunto estático de indicadores, feeds públicos incluídos e listas personalizadas e whitelists fornecidas pelo operador. O conjunto estático tem uma licença separada da licença MIT do mecanismo, e a redistribuição comercial exige autorização.

Recursos principais

  • 01Compara domínios, URLs, IPs, pares IP:porta e User-Agents com listas de indicadores trail.
  • 02Sensor em Rust que usa libpcap, com suporte opcional a workers de captura Linux PACKET_FANOUT.
  • 03Painel no navegador com atualizações em tempo real, busca por campos e retro hunting nos logs retidos.
  • 04Trails personalizados e whitelists em texto simples, que podem ser controlados por versão.
  • 05Encaminha eventos para servidores remotos, syslog (CEF) ou Logstash (JSON).
  • 06Inclui o comando de validação `maltrail-sensor -T` e métricas Prometheus opcionais.

Casos de uso

  • Detectar dispositivos em uma rede doméstica ou de escritório que se conectam a uma infraestrutura de malware conhecida.
  • Enviar eventos de indicadores de rede a um SIEM por meio do syslog ou do Logstash.
  • Executar um sensor em um gateway ou tap para monitorar o tráfego DNS e HTTP de saída.
  • Consultar se um domínio ou IP aparece em listas conhecidas de indicadores maliciosos.

Início rápido

  1. 1

    Execute o instalador (revise o script antes; ele precisa de permissões de root)

    curl -fsSL https://raw.githubusercontent.com/stamparm/maltrail/master/install.sh | sudo sh
  2. 2

    Aguarde a conclusão da compilação inicial do trail (pode levar vários minutos)

  3. 3

    Abra o painel em http://127.0.0.1:8338 e altere as credenciais padrão

Antes de usar

  • O login padrão é admin / changeme!; altere USERS antes de usar.
  • O HTTP_ADDRESS fornecido é 0.0.0.0, o que expõe o painel em todas as interfaces, a menos que seja alterado.
  • A compilação inicial do trail leva vários minutos, e nenhuma correspondência de trail é detectada até que ela seja concluída.

Tópicos

#network-monitoring#intrusion-detection#malware#threat-intelligence#packet-capture#security-monitoring#attack-detection#python#rust#security

Perguntas frequentes

O que é maltrail?
Monitor de tráfego de rede que sinaliza comunicações com domínios, IPs, URLs e User-Agents maliciosos conhecidos usando listas de indicadores chamadas trails. O Maltrail monitora o tráfego de rede e compara domínios, URLs, endereços IP, pares IP:porta e valores de User-Agent com um conjunto de indicadores chamados trails. Cada detecção é registrada como um evento com origem, destino, protocolo, trail correspondente, classificação e fonte do trail. A ferramenta também inclui heurísticas para identificar varreduras, esgotamento de DNS, consultas semelhantes às de DGA, downloads suspeitos e sondagens de proxy.
maltrail é gratuito? Qual é a licença?
maltrail é open source sob a licença MIT. Confira os termos da licença antes de usá-lo em produtos comerciais.
maltrail ainda é mantido?
Manutenção ativa. O último commit de maltrail foi em 18 de out. de 2026.
Para que posso usar maltrail?
Detectar dispositivos em uma rede doméstica ou de escritório que se conectam a uma infraestrutura de malware conhecida. Enviar eventos de indicadores de rede a um SIEM por meio do syslog ou do Logstash. Executar um sensor em um gateway ou tap para monitorar o tráfego DNS e HTTP de saída. Consultar se um domínio ou IP aparece em listas conhecidas de indicadores maliciosos.
Como instalar maltrail?
Execute o instalador (revise o script antes; ele precisa de permissões de root): curl -fsSL https://raw.githubusercontent.com/stamparm/maltrail/master/install.sh | sudo sh Aguarde a conclusão da compilação inicial do trail (pode levar vários minutos) Abra o painel em http://127.0.0.1:8338 e altere as credenciais padrão
Onde consigo maltrail?
O código-fonte e as instruções de instalação estão no GitHub: https://github.com/stamparm/maltrail

Resumo gerado por IA a partir do README do projeto. As estatísticas do GitHub são atualizadas diariamente.

Projetos relacionados