用途：检测网络侦察与端口扫描。扫描通常是攻击第一阶段，攻击者用 Nmap、Masscan、ZMap 等枚举存活主机、开放端口、服务与操作系统版本；IDS/IPS 可通过签名匹配、阈值计数和异常检测发现此类活动，并可与后续攻击指标关联。
主要能力：覆盖 TCP SYN/Connect/FIN/Xmas/NULL/ACK/SYN-ACK、UDP 扫描、Nmap 操作系统指纹与版本探测、NSE 脚本、Masscan 及内部横向扫描的检测思路；给出 Suricata 规则示例（如 flags:S,12 配合 threshold:type both,track by_src,count 30,seconds 10）、阈值配置（suppress、rate_filter、event_filter）以及解析 eve.json 生成扫描报告的 Python 脚本框架。
使用方式：需部署 Suricata 7.0+ 或 Snort 3.0+（IDS/IPS 模式）、网络 TAP 或 SPAN 端口、启用 Emerging Threats 规则集，并具备 ELK/Splunk 等日志设施与正常流量基线。规则写入 /var/lib/suricata/rules/scan-detection.rules，阈值写入 /etc/suricata/threshold.config，脚本默认读取 /var/log/suricata/eve.json。
适用场景：安全事件调查、检测规则与威胁狩猎查询编写、SOC 分析流程、验证监控覆盖。
限制：资料未提供具体性能数据、误报率、许可与价格信息；阈值需按环境调优，授权扫描器应加入白名单，内部扫描优先级更高。