Suricata è un motore open source per il rilevamento delle intrusioni che analizza il traffico di rete in tempo reale, lo confronta con migliaia di regole e registra tutto quello che osserva. Lo sviluppa la Open Information Security Foundation, o OISF, una fondazione statunitense senza scopo di lucro sostenuta da aziende della sicurezza. Il codice è distribuito con licenza GPL v2.
Il progetto nasce nel novembre 2007, quando Victor Julien e Matt Jonkman scrivono il primo codice. La prima beta pubblica arriva alla fine del 2009, mentre la versione 1.0 e la fondazione vedono la luce nel 2010, grazie anche a un finanziamento iniziale del Dipartimento della Sicurezza Interna degli Stati Uniti. Il ramo 8, uscito a luglio 2025, è arrivato alla versione 8.0.7, pubblicata il 15 settembre 2026.
A cosa serve Suricata
Suricata svolge tre compiti. Come IDS osserva una copia del traffico e genera un allarme quando un pacchetto corrisponde a una firma. Come IPS viene inserito in linea sul percorso dei pacchetti e può scartare quelli sospetti. Come strumento di monitoraggio della sicurezza di rete registra infine i metadati di ogni scambio, anche senza allarmi: query DNS, transazioni HTTP, certificati TLS, file trasferiti.
Il motore è multithread e, secondo il sito del progetto, una singola istanza riesce ad analizzare diversi gigabit al secondo. Riconosce i protocolli in automatico, indipendentemente dalla porta, per cui un server web nascosto su una porta insolita viene comunque decodificato come HTTP. Le regole seguono la sintassi storica di Snort e l’installazione predefinita propone il set gratuito Emerging Threats. Tutti i risultati confluiscono in EVE, un registro JSON pensato per essere inviato a Elasticsearch o Splunk.
La versione 8 ha introdotto una modalità firewall ancora sperimentale, in cui passa solo ciò che una regola autorizza, e ha aggiunto protocolli come LDAP, POP3, WebSocket e DNS su HTTPS. Buona parte del codice che interpreta i protocolli è stata inoltre riscritta in Rust.
Nel nostro catalogo Suricata sta accanto a Zeek, con cui viene spesso confuso. Zeek punta su registri molto dettagliati e su un linguaggio di scripting completo, mentre Suricata resta prima di tutto un motore a firme, in grado anche di bloccare. Wazuh lavora su postazioni e server, Falco sulle chiamate di sistema dei container, e ntopng misura i volumi di traffico più che le minacce.
Per chi è?
Suricata è pensato per gli analisti dei centri operativi di sicurezza, per gli amministratori che proteggono una rete aziendale o universitaria, per i team di risposta agli incidenti che riesaminano catture PCAP dopo una compromissione e per i produttori che lo integrano nei propri firewall o nelle proprie sonde.
Richiede però competenze concrete. Il file suricata.yaml contiene centinaia di parametri e un set di regole poco calibrato produce in fretta una valanga di falsi positivi. Non dispone di interfaccia grafica, quindi per consultare gli allarmi serve una dashboard esterna. Su un collegamento molto trafficato chiede molti core, parecchia memoria e talvolta una scheda di cattura specializzata. Infine non vede il contenuto cifrato oltre ai metadati TLS e non sorveglia ciò che accade all’interno delle macchine, compito che spetta a Wazuh o a Falco.
Scaricare Suricata in sicurezza
Le versioni ufficiali si trovano su suricata.io, nella sezione Download. La pagina offre l’archivio dei sorgenti con la relativa firma PGP, un installer MSI per Windows a 64 bit e i riferimenti ai pacchetti Linux, ossia il PPA dell’OISF per Ubuntu, i repository COPR per la famiglia Red Hat e i backport di Debian. Su macOS e FreeBSD occorre compilare dai sorgenti. Su Windows la cattura in tempo reale richiede anche il driver Npcap.
Il motore è gratuito per tutti. L’OISF vende soltanto una licenza non GPL ai membri Platinum e Gold. Il ramo 7 non è più supportato da luglio 2026 e, stando all’annuncio dell’OISF, la sola versione 8.0.7 corregge 67 problemi di sicurezza. Una sonda esposta a traffico ostile non dovrebbe quindi mai eseguire una build vecchia o rimaneggiata scaricata da un sito di terze parti.
Domande frequenti
Suricata è gratuito?
Sì. Il motore è software libero con licenza GPL v2 e non esiste un’edizione a pagamento. L’unica offerta commerciale dell’OISF è una licenza non GPL, riservata ai membri della fondazione che integrano Suricata in prodotti proprietari.
Che differenza c’è tra Suricata e Snort?
Entrambi sono motori di rilevamento basati su firme e Suricata accetta una sintassi delle regole molto simile. Suricata è stato progettato fin dall’inizio per sfruttare più core del processore e produce registri JSON dettagliati sui protocolli oltre agli allarmi.
Suricata può bloccare un attacco?
Sì, se viene installato in linea in modalità IPS. Quando osserva una copia del traffico in modalità IDS si limita a segnalare. La modalità firewall aggiunta con la versione 8 è ancora definita sperimentale dall’OISF.
