stamparm/maltrail

Что это?

Ключевые возможности

• 01Сверяет домены, URL, IP-адреса, пары IP:port и User-Agent со списками индикаторов trails.
• 02Сенсор на Rust с использованием libpcap и дополнительными рабочими процессами захвата Linux PACKET_FANOUT.
• 03Веб-панель с обновлениями в реальном времени, поиском по полям и ретроспективным поиском по сохранённым журналам.
• 04Пользовательские trails и белые списки в виде обычного текста, которые можно хранить под контролем версий.
• 05Пересылает события на удалённые серверы, в syslog (CEF) или Logstash (JSON).
• 06Команда проверки `maltrail-sensor -T` и дополнительные метрики Prometheus.

Сценарии использования

• Обнаружение устройств в домашней или офисной сети, которые обращаются к известной инфраструктуре вредоносного ПО.
• Передача событий о сетевых индикаторах в SIEM через syslog или Logstash.
• Запуск сенсора на шлюзе или сетевом ответвителе для отслеживания исходящего DNS- и HTTP-трафика.
• Проверка, есть ли домен или IP-адрес в известных списках вредоносных индикаторов.

Быстрый старт

1. 1

   Запустите установщик (сначала проверьте скрипт: ему нужны права root)

   Установите по официальной инструкции из README
2. 2

   Дождитесь завершения первоначальной сборки trail (это может занять несколько минут)

3. 3

   Откройте панель управления по адресу http://127.0.0.1:8338 и измените учетные данные по умолчанию

Что важно знать

• !Данные для входа по умолчанию — admin / changeme!; перед использованием измените USERS.
• !В поставляемой конфигурации HTTP_ADDRESS задан как 0.0.0.0, поэтому панель управления доступна через все сетевые интерфейсы, если не изменить это значение.
• !Первоначальная сборка trail занимает несколько минут; совпадения trail не обнаруживаются, пока она не завершится.

Темы

Частые вопросы

Что такое maltrail?

Монитор сетевого трафика, который выявляет обращения к известным вредоносным доменам, IP-адресам, URL и User-Agent по спискам индикаторов, называемым trails. Maltrail отслеживает сетевой трафик и сверяет домены, URL, IP-адреса, пары IP:port и значения User-Agent с набором индикаторов, называемых trails. Каждое обнаружение записывается как отдельное событие с указанием источника, назначения, протокола, совпавшего trail, классификации и источника trail. Кроме того, система использует эвристики для обнаружения сканирования, истощения DNS, запросов, похожих на DGA, подозрительных загрузок и проверок прокси.

maltrail можно использовать бесплатно? Какая у него лицензия?

maltrail распространяется с открытым исходным кодом под лицензией MIT. Перед использованием в коммерческих продуктах проверьте условия лицензии.

maltrail всё ещё поддерживается?

Активно поддерживается. Последний коммит в maltrail — 18 окт. 2026 г..

Для чего можно использовать maltrail?

Обнаружение устройств в домашней или офисной сети, которые обращаются к известной инфраструктуре вредоносного ПО. Передача событий о сетевых индикаторах в SIEM через syslog или Logstash. Запуск сенсора на шлюзе или сетевом ответвителе для отслеживания исходящего DNS- и HTTP-трафика. Проверка, есть ли домен или IP-адрес в известных списках вредоносных индикаторов.

Как установить maltrail?

Запустите установщик (сначала проверьте скрипт: ему нужны права root) Дождитесь завершения первоначальной сборки trail (это может занять несколько минут) Откройте панель управления по адресу http://127.0.0.1:8338 и измените учетные данные по умолчанию

Где скачать maltrail?

Исходный код и инструкции по установке — на GitHub: https://github.com/stamparm/maltrail