Suricata

网络里有没有人在扫端口、有没有主机悄悄连向可疑地址，光看路由器日志是看不出来的。Suricata 是开源的网络威胁检测引擎，对流经的流量逐包比对规则库，命中了就报警，也可以配置成直接拦截。

它不止做 IDS 和 IPS，还能记录协议事务、网络流、抓包和被传输的文件，方便事后回溯。规则语法比较复杂，新手读写自定义规则要花些功夫，好在社区规则集可以直接用。Windows 有 MSI 安装包，目前是 8.0.7 版本。

软件功能

规则匹配告警：按规则里的行为特征检测端口扫描、未授权登录、恶意流量等，命中即告警。

入侵防御：可以工作在在线模式，直接丢弃命中规则的流量。

协议与流量记录：输出 HTTP、DNS、TLS 等协议事务和网络流记录。

抓包与文件提取：保存原始数据包，也能把传输中的文件提取出来。

自定义规则：能自己写规则，动作、协议、端口和载荷条件都可组合。