Maltrail: как заметить, что сеть или сервер говорит с вредоносным IP

Как узнать, что компьютер ходит на вредоносный адрес

Майнер на сервере или бот в офисной сети редко себя выдаёт. Компьютер чуть медленнее, вентилятор шумит. Зато такая программа обязательно куда-то обращается: на управляющий сервер, на пул майнинга, на домен из чёрных списков. Если смотреть, куда ходят устройства, это можно заметить раньше, чем напишет хостер.

Maltrail сопоставляет домены, URL, IP-адреса, пары IP:порт и User-Agent, замеченные в сети, с набором индикаторов (trails) и фиксирует срабатывания. Список устройств в сети ведёт NetAlertX, DNS фильтрует AdGuard Home, а этот инструмент смотрит на сами обращения.

Что за проект и что я проверил

Проверял 18.10.2026 по репозиторию stamparm/maltrail. Файл LICENSE: MIT. Репозиторий создан в 2014 году, около 8,6 тысячи звёзд, не архивирован. Последний релиз 3.5 вышел 14.10.2026, последние изменения датированы 16.10.2026. Пост GitHub Community от 17.10.2026 я не нашёл и опираюсь на репозиторий.

Устройство такое. Датчик (sensor) слушает сетевой интерфейс, сверяет трафик со списком и пишет события. По README он написан на Rust и использует libpcap. Сервер на Python принимает события, хранит журнал и даёт веб-интерфейс с HTTP API. Оба могут стоять на одной машине, либо датчик шлёт события на отдельный сервер. Панель открывается на 127.0.0.1:8338.

Откуда берутся списки и что с лицензией

README называет пять источников: фиды публичных источников (установка забирает их сама, назван, например, IPnoise), ваши индикаторы, статический набор из репозитория stamparm/trails, список массовых сканеров и удалённый список по вашей ссылке. Статический набор по README меняется десятки раз в день, на 17.10.2026 там вышло два обновления. Интервал обновления задаёт UPDATE_PERIOD, значение по умолчанию я не нашёл.

Это ключевой пункт. Код под MIT, а набор trails лежит отдельно, под своей лицензией. Защищать им свои сети бесплатно, в том числе коммерческой компании. Платные услуги третьим лицам, где набор участвует в результате (мониторинг, консалтинг), требуют письменного разрешения авторов. Поэтому владелец может поставить Maltrail себе сам. Услугу «поставлю и буду следить за вашей сетью» на этом наборе я не продаю. Как это трактуется в вашем случае, уточняйте у правообладателей.

Что нужно для офиса и для VPS

Установщик проверен на Debian, Ubuntu, Fedora, Rocky, AlmaLinux, Arch, openSUSE и Alpine, есть сборки для BSD, macOS и Windows. Серверу нужен Python 3.6 или новее. Датчику нужны права CAP_NET_RAW и CAP_NET_ADMIN, установщик запускают через sudo.

Нагрузка. В релизе 3.5 заявлена работа на Raspberry Pi с 256 МБ памяти, датчик по замерам разработчиков занимает в покое около 32 МБ. Скорость обработки пакетов в README измерена без живой съёмки. Для офиса на десяток компьютеров, по моей оценке, хватит. Проверяйте на своём канале: если растёт счётчик потерянных пакетов, потоков захвата нужно больше.

В офисе датчик должен видеть трафик всех компьютеров. Схем подключения в README нет, поэтому принцип общий: поставить его на шлюз, через который идёт весь трафик, или подключить к зеркальному порту управляемого коммутатора. Домашние роутеры зеркалирование обычно не умеют. На VPS зеркалить нечего: датчик стоит на самом сервере и видит, куда тот ходит и кто к нему стучится. Как поднять сервер, написано в разборе настройки VPS с нуля.

Чего Maltrail не делает и где он ошибается

Он не блокирует. По README это обнаружение по индикаторам, системой предотвращения вторжений он себя не называет. Новая инфраструктура, которой нет в списках, пройдёт незамеченной. Содержимое HTTPS он не читает: совпадения ищутся по DNS, адресам, открытым URL, сертификатам и отпечаткам TLS-клиента (JA3, JA4). Включена ли проверка SNI по умолчанию, не подтверждено.

Ложные срабатывания. Отдельного раздела в README нет, но есть поле confidence (40 для одного источника, плюс 15 за каждый согласный, запись на 40 README советует проверять дважды), белый список USER_WHITELIST и статус «ложное срабатывание» в панели. По устройству системы ждите такие сигналы: общий хостинг с плохим соседом, старая запись о сменившем владельца домене. Входящие сканирования на VPS это фон интернета, на заражение они не указывают. Это мои предположения, в документации их нет.

Веб-интерфейс. Логин по умолчанию admin, пароль changeme!, а HTTP_ADDRESS в поставке 0.0.0.0, то есть панель слышна на всех интерфейсах. README требует сменить USERS и привязать панель к 127.0.0.1 или поставить за прокси с TLS. В журналах лежат IP и домены, в ряде стран это персональные данные. Предупредите сотрудников и сверьтесь с 152-ФЗ.

Сравнение в одном абзаце. Антивирус смотрит файлы и процессы на устройстве, Maltrail смотрит, куда устройство обращается по сети, и видит то, что антивирус пропустил, но только по известным адресам. Fail2Ban читает журналы сервера и банит адреса после неудачных входов, то есть охраняет вход. Maltrail замечает и входящие попытки, и исходящие обращения, но банить не умеет. Для Wazuh в README указаны сторонние правила Maltrail.

Что можно сделать уже сейчас

Если сработало, действуйте по порядку.

1. Запишите время, адрес источника, домен или IP и классификацию.
2. Проверьте индикатор через /check и посмотрите confidence.
3. Найдите устройство по адресу источника.
4. Если обращения повторяются и название указывает на майнер или ботнет, отключите устройство от сети, но диск не стирайте до разбора.
5. С чистого устройства смените пароли и ключи, которыми пользовались на этом.
6. Проверьте процессы, автозапуск и нагрузку. На сервере посмотрите cron, новых пользователей и ключи SSH.
7. Если уверенности нет или могли уйти данные клиентов, зовите специалиста.

Пилот на один вечер. Условный пример: тестовый Linux-компьютер или ваш VPS с доступом через sudo. Прочитайте install.sh и сначала запустите его с --dry-run. После установки смените пароль в USERS и привяжите панель к 127.0.0.1. Первая сборка списков идёт несколько минут. Команда maltrail-sensor -T проверит настройку, а python3 server.py --detect-test прогонит синтетический трафик. Оставьте на пару часов и прочитайте события. Нужен ли вам датчик и какой составить план на случай заражения, обсудим в рамках услуги по кибербезопасности.

Частые вопросы

Нужно ли платить за Maltrail?

Код под MIT, платить не надо. Набор trails бесплатен для защиты ваших собственных систем, а платные услуги третьим лицам на нём требуют разрешения правообладателей.

Он заменяет антивирус?

Нет. Файлы он не проверяет и ничего не блокирует. Он показывает обращения к известным вредоносным адресам.

Подойдёт ли Windows?

Установщик есть, нужен Npcap. README оговаривает, что живой захват на Windows автотестами не проверяется. Для сервера надёжнее Linux.

Коротко о главном

Maltrail под MIT показывает, что устройство обратилось к известной вредоносной инфраструктуре. Он не блокирует, HTTPS читает частично и ошибается на одиночных совпадениях. Список бесплатен для своей сети и требует разрешения для платных услуг другим.

Если хотите понять, нужен ли такой датчик вашему офису или серверу и что делать при срабатывании, напишите мне в Telegram кодовое слово «ТРАФИК».