Suricata est un moteur open source de détection d’intrusions qui inspecte le trafic réseau en temps réel, le compare à des milliers de règles et consigne tout ce qu’il observe. Il est développé par l’Open Information Security Foundation, ou OISF, une fondation américaine à but non lucratif financée par des entreprises de la sécurité. Son code est publié sous licence GPL v2.
L’histoire du projet commence en novembre 2007, quand Victor Julien et Matt Jonkman écrivent les premières lignes. La première bêta publique paraît fin 2009, puis la version 1.0 et la fondation voient le jour en 2010, avec un financement initial du département américain de la Sécurité intérieure. La branche 8, sortie en juillet 2025, en est aujourd’hui à la version 8.0.7, publiée le 15 septembre 2026.
À quoi sert Suricata
Suricata remplit trois fonctions distinctes. En mode IDS, il observe une copie du trafic et lève une alerte lorsqu’un paquet correspond à une signature. En mode IPS, il est placé en coupure sur le chemin des paquets et peut bloquer ceux qui posent problème. Enfin, comme outil de surveillance de la sécurité réseau, il enregistre des métadonnées sur chaque échange, même en l’absence d’alerte : requêtes DNS, transactions HTTP, certificats TLS, fichiers transférés.
Son moteur est multithread, ce qui lui permet, selon le site du projet, d’analyser plusieurs gigabits par seconde sur une seule instance. Il reconnaît automatiquement les protocoles, quel que soit le port utilisé, si bien qu’un serveur web caché derrière un port inhabituel est tout de même décodé comme du HTTP. Les règles reprennent la syntaxe historique de Snort, et l’installation par défaut propose le jeu gratuit Emerging Threats. Toutes les sorties sont regroupées dans EVE, un journal JSON que l’on envoie ensuite vers Elasticsearch ou Splunk.
La version 8 a ajouté un mode pare-feu encore expérimental, où rien ne passe sans une règle qui l’autorise, et a fait entrer de nouveaux protocoles comme LDAP, POP3, WebSocket ou le DNS sur HTTPS. Une large part du code d’analyse des protocoles a aussi été réécrite en Rust.
Dans notre logithèque, Suricata côtoie Zeek, avec lequel on le confond souvent. Zeek privilégie la production de journaux détaillés et un langage de script complet, alors que Suricata reste avant tout un moteur de signatures, capable de bloquer. Wazuh travaille sur les postes et les serveurs, Falco sur les appels système des conteneurs, et ntopng mesure les volumes plutôt que les menaces.
Pour qui ?
Suricata sert aux analystes de centres opérationnels de sécurité, aux administrateurs qui protègent un réseau d’entreprise ou de campus, aux équipes de réponse à incident qui rejouent des captures PCAP après une compromission et aux éditeurs qui l’intègrent dans leurs pare-feu ou leurs sondes.
Il demande en revanche un vrai savoir-faire. Le fichier suricata.yaml compte des centaines de paramètres, et un jeu de règles mal adapté génère vite un flot de fausses alertes. Il n’offre aucune interface graphique : pour consulter les alertes, il faut un tableau de bord externe. Sur un lien très chargé, il réclame des processeurs nombreux, beaucoup de mémoire et parfois une carte de capture spécialisée. Enfin, il ne voit rien du contenu chiffré au-delà des métadonnées TLS, et il ne surveille pas ce qui se passe à l’intérieur des machines, terrain où Wazuh ou Falco prennent le relais.
Télécharger Suricata sans risque
Les versions officielles sont réunies sur suricata.io, à la rubrique Download. On y trouve l’archive des sources accompagnée de sa signature PGP, un installateur MSI pour Windows 64 bits et des liens vers les paquets Linux : dépôt PPA de l’OISF pour Ubuntu, dépôts COPR pour les distributions de la famille Red Hat, rétroportages Debian. Sous macOS et FreeBSD, il faut compiler à partir des sources. Sous Windows, la capture en direct suppose d’installer aussi le pilote Npcap.
Le moteur est gratuit pour tous. L’OISF vend seulement une licence non GPL à ses membres Platinum et Gold. La branche 7 n’est plus maintenue depuis juillet 2026, et la version 8.0.7 corrige à elle seule 67 problèmes de sécurité d’après l’annonce de l’OISF. Une sonde exposée au trafic hostile ne doit donc jamais tourner sur une copie ancienne ou modifiée récupérée sur un site tiers.
Questions fréquentes
Suricata est-il gratuit ?
Oui. Le moteur est un logiciel libre sous licence GPL v2, sans édition payante. La seule offre commerciale de l’OISF est une licence non GPL, réservée aux membres de la fondation qui intègrent Suricata dans un produit propriétaire.
Quelle différence entre Suricata et Snort ?
Les deux sont des moteurs de détection fondés sur des signatures, et Suricata accepte une syntaxe de règles très proche. Suricata a été conçu dès le départ pour exploiter plusieurs cœurs de processeur, et il produit des journaux JSON détaillés sur les protocoles en plus des alertes.
Suricata peut-il bloquer une attaque ?
Oui, à condition d’être déployé en mode IPS, placé en coupure sur le trafic. En mode IDS, sur une copie du trafic, il se contente d’alerter. Le mode pare-feu ajouté en version 8 reste qualifié d’expérimental par l’OISF.
