crowdsecurity/crowdsec

项目介绍

CrowdSec 是一个开源安全引擎，把入侵检测与防御（IDS/IPS）、Web 应用防火墙（WAF）和机器人检测整合在一起。它通过分析日志来源和 HTTP 请求识别恶意行为，再由独立的 bouncer 组件在防火墙、反向代理或 CDN 层执行封禁；检测与处置是解耦的，因此可以在一台机器解析日志、在另一处拦截攻击 README。

默认安装自带暴力破解、端口扫描、Web 扫描等场景，更多检测规则、解析器和处置组件可以从 CrowdSec Hub 获取 README。

可选的众包黑名单是第二层防护：用户上报的攻击会汇入经过筛选的恶意 IP 列表，参与共享的实例可以提前拦截这些 IP 社区黑名单文档。AppSec 组件基于 Coraza 构建，可以直接加载 SecLang 规则和 OWASP Core Rule Set；对可疑请求还可以用可调难度的 JavaScript 工作量证明挑战进行验证 README。

适用对象

适合运行 Linux、Windows、Docker 或 Kubernetes 工作负载的系统管理员和安全团队，希望获得类似 fail2ban 的封禁能力，同时需要集中式检测和多个执行点，并可能愿意加入共享威胁情报。

快速使用

安全引擎通过官方文档安装，文档覆盖 Linux、Windows、Docker、OPNsense、Kubernetes 等平台 安装文档。README 本身没有提供安装命令和引擎配置步骤，应以该文档为准，不要照搬本文的说明。

一次完整部署通常分三步：

1. 在收集日志的主机或集群上安装安全引擎（Security Engine）。
2. 为你使用的执行点安装至少一个处置组件（bouncer），防火墙、nginx、Traefik、Cloudflare 等都有对应方案，见仓库链接的 bouncer 文档 bouncer 文档。
3. 决定是否把实例接入 CrowdSec Console，以获得可视化和额外黑名单 Console。

参与共享与隐私

众包黑名单是可选的。不参与共享时，引擎仍可依靠本地场景和处置组件工作，只是拿不到社区 IP 信誉数据；项目团队在早期讨论中已澄清这一点 HN 评论。参与共享时会上报攻击 IP、时间戳和触发的场景，用于形成共识，而不是完整日志内容，同样来自该讨论 HN 评论。

使用约束

• 检测覆盖面取决于安装的场景和输入的日志格式；新增规则从 Hub 获取，采用 MIT 许可证分发 README。
• bouncer 是独立组件，实际封禁需要同时部署引擎和对应技术栈的处置组件。
• AppSec WAF 运行在 Coraza 上，接受 SecLang 和 OWASP CRS 规则，可复用现有 ModSecurity 风格规则集 README。
• 仓库采用 MIT 许可证；Console 是带高级功能的托管服务，与可自托管的引擎不同 README。

HotRepo 点评

CrowdSec 最受关注的一次公开讨论发生在 2020 年，当时它以 Go 编写的 fail2ban 替代品被介绍，在 Hacker News 获得 170 分和 93 条评论 HN 讨论。讨论集中在数据共享是否可选，以及 Caddy 等集成需求上 Caddy 集成请求，这些仍是新用户评估项目时关心的点。本站记录中，该仓库在 2026-11-13 的 Go 日榜新增 24 星、当天排名第 11，对这样规模的项目算中等信号，而非爆发式增长。它的长期价值更多来自「此处检测、彼处处置」的解耦架构，以及 Hub 上规则与 bouncer 的生态，而不是星数本身。