用途：部署基于网络的入侵检测系统，在网络边界监控流量，编写自定义 Snort 规则检测组织特定威胁、攻击模式或策略违规，调优规则集降低误报，并将告警接入 SIEM 集中监控。不适用于替代端点检测、未做 TLS 检查的加密流量监控，也不应作为唯一安全控制。
主要能力：安装并验证 Snort 3；配置网卡混杂模式并关闭 offloading；使用 Lua 配置 DAQ、解码器、流重组、HTTP/DNS/SSL/SMB 检查、端口扫描检测与告警输出（fast、JSON、unified2、syslog）；下载社区规则并用 PulledPork 3 自动管理；编写本地规则；通过阈值与抑制调优；以 systemd 服务持久运行。
必要用法：安装依赖后从源码编译 libdaq 与 snort3，用 snort -V 验证；用 ethtool 关闭 gro/lro/tso/gso/rx/tx 并启用 promisc；编辑 /usr/local/etc/snort/snort.lua；下载 snort3-community-rules 并配置 PulledPork；用 snort -c ... -T 校验配置，用 -i eth1 -l /var/log/snort -D 运行，或用 -r test_traffic.pcap 测试规则；通过 tail -f /var/log/snort/alert_fast.txt 查看告警，用 suppress 规则抑制误报。
适用场景：网络边界合规部署、自定义威胁检测、规则调优、SIEM 集成、用测试流量验证检测能力。
限制：需注册 Snort 账号获取 Oink Code 才能下载订阅或注册规则集；需足够 CPU 与内存做线速检查；社区规则需自行调优；资料未提供具体收费、价格或效果数据。