SELKS 快速上手指南基于Suricata的免费开源NDR网络监控平台Docker部署只要4条命令【免费下载链接】Clear-NDR-ISOA Suricata based NDR distribution项目地址: https://gitcode.com/GitHub_Trending/se/Clear-NDR-ISO当你需要实时回答内网今天发生了哪些可疑的外联行为这个问题时SELKS 是一个现成的答案。它是一个基于 Suricata 的免费开源 NDR网络检测与响应网络监控平台把入侵检测、事件存储和可视化界面打包成一个系统部署完成后不用手工拼配置浏览器打开就能看告警、查流量。 先搞清楚它是什么SELKS 是由 Stamus Networks 以 GPLv3 协议发布的 Debian 系 IDS/IPS/网络安防监控平台。名字取自五个核心组件的首字母Suricata检测引擎、Elasticsearch存储、Logstash处理、Kibana可视化、Scirius规则管理与威胁狩猎界面后来加入的 Arkime、EveBox、CyberChef 不在缩写里。理解它的关键在于SELKS 里所有事件数据都是 Suricata 产生的其余组件只是负责把数据存下来、展示出来。可以把它看成一条流水线——Suricata 看流量ELK 技术栈存数据Scirius 负责狩猎和规则管理。默认的 SN-OVERVIEW 仪表板TLS 版本分布、TCP 端口、DNS 域名排行、Syslog 目标与事件列表同屏展示 跑起来之前硬件与软件条件部署前先把机器和软件两件事确认掉。Docker 方式支持任何装有 Docker 的 Linux 或 Windows官方给出的底线如下项目要求说明CPU至少 2 核Suricata 和 Elasticsearch 都是多线程核数越多吞吐越好内存8GB 空闲生产建议 9GB 起监控流量越大越需要额外内存磁盘10GB 空闲起步推荐 200GB SSD占用主要取决于流量和规则数量软件git、curlDocker17.06.0和 docker-compose1.27.0缺失时安装脚本会顺带装如果你的环境是离线air-gapped机房或想装在裸金属、虚拟机上用官方 ISO 镜像而不是 Docker仓库里的 staging/ 目录就是 ISO 系统镜像的构建目录。 最短路径上手确认机器达标后在docker/目录里跑完下面 4 条命令git clone https://gitcode.com/GitHub_Trending/se/Clear-NDR-ISO cd Clear-NDR-ISO/docker ./easy-setup.sh # 检查/安装依赖、生成配置、拉取镜像 docker-compose up -d脚本主要在 Debian 上测试支持-i参数指定监听接口例如./easy-setup.sh -i eth0不带参数则用默认网络配置。启动完成后浏览器访问https://你的服务器IP/用默认账号selks-user、密码selks-user登录。看到登录成功后的 Scirius 界面左侧有 Dashboard、Signatures、Alerts 菜单就说明整套系统已经生效。登录第一件事建议进左上角下拉菜单的 Account settings 改掉默认密码。 拆开看看数据流上的每个组件部署跑通后值得花十分钟理清数据走向出问题时才知道该查哪一环。主线只有一条Suricata 捕获流量 → Logstash 解析 → Elasticsearch 存储 → Kibana / Scirius 展示。Suricata数据生产者它负责实时抓包并产出告警和各协议HTTP、DNS、TLS、SMB、KRB5 等事件日志。它的 SELKS 附加配置在 docker/containers-data/suricata/etc/selks6-addin.yaml你只需要在改抓取接口、规则文件列表或 IP 信誉列表时才动它规则本体由 Scirius 统一管理并由 docker/containers-data/cron-jobs/daily/ 里的每日定时任务自动更新。Logstash数据处理器它负责读取 Suricata 的事件输出、解析后写入 Elasticsearch配置在 docker/containers-data/logstash/conf.d/logstash.conf。默认零改动可用只有要增加自定义字段处理时才需要动。Elasticsearch数据存储它负责存索引并持久化全部事件默认放在 Docker 命名卷里。内存吃紧时调整 docker/compose.yml 中 elasticsearch 容器的ELASTIC_MEMORY默认 3G即可。Kibana展示层它负责仪表板。开箱自带 28 仪表板、400 可视化和 24 个预定义搜索覆盖 SN-OVERVIEW、SN-ALERTS、SN-HTTP、SN-DNS、SN-KRB5、SN-FILE-Transactions 等场景正常使用时不用碰它的配置。Scirius狩猎与规则界面它负责规则集管理和威胁狩猎是为 Suricata 事件定制的钻取式界面带预置狩猎过滤器和增强上下文视图也是浏览器访问 SELKS 的默认入口。Scirius 的告警详情上下文左侧是告警签名元数据受影响产品、恶意软件家族、严重级别中间是可打印的 Payload 和请求/响应体EveBox 与 Arkime补充件EveBox 提供另一套事件浏览视图Arkime 负责保存完整 PCAP支持事后回看抓包。两者默认启用属于用到才研究的部分。️ 进阶用法三个最常用的点组件关系清楚之后日常操作基本集中在三件事上。1. 规则更新与自定义。规则每日由定时任务自动更新想手动触发执行docker-compose exec scirius python3 /opt/scirius/manage.py updatesources。自定义签名建议直接在 Scirius 的 Signatures/Policy 界面添加例如检测某个可疑外联alert http any any - any any (msg:SELKS test rule; sid:1000001; rev:1;)不需要手动改容器内文件。2. 指定 Suricata 抓取接口。最省事的方式是安装时传参./easy-setup.sh -i eth0安装后想改就在 docker/containers-data/suricata/etc/selks6-addin.yaml 里追加 af-packet 段该文件会作为覆盖项合并进 suricata.yamlaf-packet: - interface: eth0 # 换成实际承载监控流量的网卡 cluster-type: cluster_flow defrag: yes3. 调整数据保留。索引生命周期由 docker/containers-data/logstash/templates/elasticsearch7-template.json 控制按磁盘容量改保留天数即可避免索引把 200GB 磁盘写满。Scirius 签名视图的元数据分布签名严重级别、攻击目标、受影响产品、恶意软件家族以及源/目的 IP 与端口的 Top 排行 适合谁用SELKS 的官方定位是中小组织的生产级监控两个典型画像中小企业的网络/安全值班工程师——典型任务是盯一个出口流量每天用 SN-ALERTS 过一遍告警发现可疑条目后在 Scirius 里钻取上下文对端 IP、协议、Payload确认是否误报。需要说明的是官方明确 SELKS 不是为企业级多探针场景设计的那种需求对应商业版 Stamus Security PlatformSSP。安全方向的学生和培训讲师——典型任务是在实验环境里发起测试流量验证告警是否按预期触发、自己写的签名是否有效。仓库里 doc/example-logs/ 放有各协议的真实样例 JSON如 eve-alert.json、eve-smb.json没跑真流量前也可以先拿它对照字段含义。⚠️ 踩坑与求助1. 浏览器打不开页面→ 现象访问https://IP/拒绝连接。原因nginx 容器未就绪或宿主机 443 端口被防火墙拦掉。解法先docker-compose ps确认所有容器 Up再docker-compose logs nginx看报错最后检查防火墙放行 443。2. Suricata 没有流量数据→ 现象仪表板流量全为 0。原因抓取接口没配置或配错多网卡主机尤其常见。解法核对接口参数-i或 af-packet 段确认填的是真正承载待监控流量的网卡。3. Elasticsearch 反复重启→ 现象ES 容器退出后被自动拉起。原因默认 3G 内存上限扛不住当前写入量。解法调大.env/compose 里的ELASTIC_MEMORY并给整机留足内存生产最低 9GB 是官方口径。问题定位不下去时README.rst 和 docker/README.md 里列了官方 Wiki、社区和 Issue 入口建议按顺序查。如果你需要在一台机器上低成本跑起检测—存储—狩猎完整的网络监控闭环SELKS 值得试。从最短路径上手的 4 条命令把 Docker 版拉起来再逐步熟悉 Scirius 的规则管理和仪表板。项目地址与文首 clone 所用仓库一致即 Stamus Networks 的 SELKS 官方仓库。【免费下载链接】Clear-NDR-ISOA Suricata based NDR distribution项目地址: https://gitcode.com/GitHub_Trending/se/Clear-NDR-ISO创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考