stamparm/maltrail

这是什么？

核心功能

• 01将域名、URL、IP、IP:端口和 User-Agent 与 trail 指标库比对。
• 02基于 libpcap 的 Rust sensor，可选 Linux PACKET_FANOUT 多抓包工作线程。
• 03浏览器报表界面，支持实时更新、字段搜索和对历史日志的回溯查询。
• 04纯文本格式的自定义 trails 和白名单，便于版本管理。
• 05可将事件转发到远程服务器、syslog（CEF）或 Logstash（JSON）。
• 06提供 `maltrail-sensor -T` 部署校验命令，并可选开启 Prometheus 指标。

适用场景

• 发现内网中与已知恶意基础设施通信的主机。
• 通过 syslog 或 Logstash 将网络指标事件接入 SIEM。
• 在网关或镜像端口上部署 sensor，监控出站 DNS 与 HTTP 流量。
• 查询某个域名或 IP 是否出现在已知恶意指标库中。

快速上手

1. 1

   运行安装脚本（请先检查脚本内容，因为需要 root 权限）

   curl -fsSL https://raw.githubusercontent.com/stamparm/maltrail/master/install.sh | sudo sh
2. 2

   等待初始 trail 构建完成（可能需要几分钟）

3. 3

   打开 http://127.0.0.1:8338 仪表板，并修改默认凭据

使用前须知

• !默认登录账号为 admin / changeme!，使用前必须修改 USERS 配置。
• !默认 HTTP_ADDRESS 为 0.0.0.0，除非修改，否则仪表板会暴露在所有网络接口上。
• !初始 trail 构建需要几分钟，完成之前不会检测到任何 trail 匹配。

标签

常见问题

maltrail 是什么？

网络流量检测系统，通过称为 trails 的恶意指标库，识别与已知恶意域名、IP、URL 和 User-Agent 的通信。 Maltrail 监控网络流量，将其中出现的域名、URL、IP 地址、IP:端口组合和 User-Agent 与称为 trails 的指标库进行比对。每次检测会记录为一条事件，包含源地址、目标地址、协议、命中的 trail、分类和 trail 来源。系统还内置针对端口扫描、DNS 耗尽、类 DGA 域名查询、可疑下载和代理探测等行为的启发式检测。

maltrail 可以免费使用吗？用的什么许可证？

maltrail 以 MIT 许可证开源。用于商业产品前，请先确认许可证条款。

maltrail 还在维护吗？

活跃维护中。maltrail 最近一次提交是在 2026年10月18日。

maltrail 适合用来做什么？

发现内网中与已知恶意基础设施通信的主机。 通过 syslog 或 Logstash 将网络指标事件接入 SIEM。 在网关或镜像端口上部署 sensor，监控出站 DNS 与 HTTP 流量。 查询某个域名或 IP 是否出现在已知恶意指标库中。

maltrail 怎么安装和运行？

运行安装脚本（请先检查脚本内容，因为需要 root 权限）: curl -fsSL https://raw.githubusercontent.com/stamparm/maltrail/master/install.sh | sudo sh 等待初始 trail 构建完成（可能需要几分钟） 打开 http://127.0.0.1:8338 仪表板，并修改默认凭据

在哪里获取 maltrail？

源代码和安装说明在 GitHub 上：https://github.com/stamparm/maltrail