用途：将开源威胁检测引擎 Suricata 部署为内联网络入侵防御系统（IPS），在流量路径中深度包检测并主动阻断恶意流量，同时可用于 IDS 与网络安全监控。
主要能力：支持 IDS（AF_PACKET 被动监控）、IPS（NFQUEUE 经 netfilter 内联阻断）、IPS（AF_PACKET 网桥内联）及离线 PCAP 分析四种模式；规则动作含 alert、pass、drop、reject 等；支持 tcp、udp、icmp、http、tls、dns 等协议与双向/单向方向；规则来源包括 ET Open、ET Pro、Suricata Traffic ID 及自定义规则。
使用方式：安装 Suricata 与 suricata-update（如 sudo apt-get install -y suricata suricata-update）；编辑 /etc/suricata/suricata.yaml 配置 HOME_NET、nfq、threading、detect-engine、stream 与 eve-log 等；用 iptables 将 FORWARD 链重定向至 NFQUEUE（sudo iptables -I FORWARD -j NFQUEUE --queue-num 0 --queue-bypass）；用 suricata-update 管理规则；在 local.rules 编写自定义规则；以 sudo suricata -c /etc/suricata/suricata.yaml -q 0 启动 IPS，或用 systemctl 作为服务运行；通过 suricatasc -c reload-rules 热加载规则。
适用场景：需要内联阻断、合规安全控制、安全架构建设与安全评估的环境。
限制与前提：需 Linux 服务器（Ubuntu 22.04+ 或 CentOS 8+）、4 核以上 CPU、8GB 以上内存、Suricata 7.0+、内联网络位置及日志基础设施（ELK、Splunk 或 Wazuh）。建议先在 IDS 模式调优 2-4 周再切换 IPS，并配置 fail-open、CPU 亲和、阈值抑制与定期更新规则。具体收费、价格与效果资料暂未提供。