入侵检测

osquery/osquery

基于 SQL 的操作系统仪表化、监控和分析。

wazuh/wazuh

开源XDR和SIEM平台，用于跨端点和云工作负载的威胁检测、日志分析、文件完整性监控、漏洞评估和合规管理。

azure/azure-sentinel

面向整个企业的云原生SIEM，用于智能安全分析。

fail2ban/fail2ban

禁止导致多次认证错误的主机的守护进程

sigmahq/sigma

主要Sigma规则库

mail-in-a-box/mailinabox

Mail-in-a-Box 通过提供一键式、易于部署的 SMTP+全方位邮件服务器，帮助个人重新掌控自己的电子邮件：一个开箱即用的邮件服务器。

crowdsecurity/crowdsec

开源IDS/IPS和WAF引擎，通过分析日志和HTTP请求来检测和阻止恶意IP，利用众包社区黑名单实现实时威胁情报。

owasp-modsecurity/modsecurity

ModSecurity is an open source, cross platform web application firewall (WAF) engine for Apache, IIS and Nginx. It has a robust event-based…

zeek/zeek

Zeek 是一个强大的网络分析框架，与你可能知道的典型 IDS 有很大不同。

misp/misp

MISP（核心软件）- 开源威胁情报与共享平台

graylog2/graylog2-server

用于收集、索引和分析流式日志的集中式日志管理平台，具备告警和事件关联功能，适用于安全监控。

telekom-security/tpotce

🍯 T-Pot - 全能多蜜罐平台 🐝

falcosecurity/falco

实时云原生 Linux 运行时安全代理，通过监控系统调用及容器/Kubernetes 元数据来检测异常行为和威胁。

stamparm/maltrail

实时恶意流量检测系统，利用公共黑名单、静态恶意软件痕迹和启发式分析，识别 DNS、HTTP 和 IP 流量中的威胁。

oisf/suricata

用于实时流量检测、入侵检测与防御、协议分析以及基于规则的威胁狩猎的开源网络 IDS/IPS/NSM 引擎。

arkime/arkime

Arkime 是一个开源的、大规模、全包捕获、索引和数据库系统。

evilsocket/opensnitch

交互式GNU/Linux应用防火墙，可过滤出站连接，拦截广告和恶意域名，通过图形界面管理系统防火墙规则，并支持集中式多节点管理。