用途：部署高性能、多线程的 Suricata IDS/IPS，用于 10 Gbps 以上链路的协议感知流量监控，生成结构化 EVE JSON 日志供 SIEM 直接摄取，并可在 inline（IPS）模式下阻断恶意流量。
主要能力：支持 HTTP、TLS、DNS、SMB、SSH 等协议解析；结合签名检测、协议异常检测与文件提取；提供 JA3/JA3S、HASSH 指纹识别与 Community ID 流关联；通过 suricata-update 管理 ET Open/Pro、Snort 等规则源，并支持自定义本地规则。
使用方式：从 PPA 或源码安装 Suricata 7.0+ 与 suricata-update；关闭网卡 offload 并设置混杂模式；在 /etc/suricata/suricata.yaml 中配置 HOME_NET、AF_PACKET 多线程、EVE JSON 与 pcap-log 输出、stream 与 app-layer 协议；用 suricata-update 下载规则并编写 local.rules；以 suricata -T 校验配置，再以 --af-packet 运行 IDS 或配合 NFQueue 运行 IPS；通过 jq、Filebeat/ELK 或 Evebox 分析日志。
适用场景：企业网络边界 IDS 部署、威胁狩猎、恶意 C2 通信检测、DNS 隧道与数据外泄监控、SSH 暴力破解检测等。
限制：不宜作为唯一安全方案；无 TLS 解密能力时无法检查加密流量；CPU/内存不足会导致丢包；需持续调优以减少误报。具体性能数据与部署规模需依实际环境评估。