Suricata
一种开源的网络威胁检测引擎，支持基于签名的入侵检测和防御，常与规则集（如 Emerging-Threats）配合使用。
时间轴 (近 90 天)
论文在 UNSW-NB15、CIC-IDS2017、EMBER2024 三个基准上，与校准后的 XGBoost、Random-Forest、MLP 和 Kitsune 对比，并测量了“Suricata（52,674 条 Emerging-Threats 规则）→ VX-One”的两阶段级联，在 CIC-IDS2017 上跨五天运行。
在无载荷重构场景下，签名引擎只能解析约 0.1% 的流，灰区覆盖约 99.9% 的流量。
Suricata 的 52,674 条 Emerging-Threats 规则大多依赖载荷中的特征串，因此在无载荷场景下仅约 0.1% 的流能被规则命中，其余 99.9% 落入灰区。
Suricata→VX-One 两阶段级联的合并召回率达到 ≥0.978。
JA4 被 Suricata、Zeek 等安全工具广泛集成，用于识别恶意软件通信模式
传统入侵检测系统（IDS）主要分为基于签名的检测和基于异常的检测两类，经典产品包括Snort、Suricata
全部知识事实 (6)
论文在 UNSW-NB15、CIC-IDS2017、EMBER2024 三个基准上，与校准后的 XGBoost、Random-Forest、MLP 和 Kitsune 对比，并测量了“Suricata（52,674 条 Emerging-Threats 规则）→ VX-One”的两阶段级联，在 CIC-IDS2017 上跨五天运行。
50%待验证在无载荷重构场景下，签名引擎只能解析约 0.1% 的流，灰区覆盖约 99.9% 的流量。
50%待验证Suricata 的 52,674 条 Emerging-Threats 规则大多依赖载荷中的特征串，因此在无载荷场景下仅约 0.1% 的流能被规则命中，其余 99.9% 落入灰区。
50%待验证Suricata→VX-One 两阶段级联的合并召回率达到 ≥0.978。
50%待验证JA4 被 Suricata、Zeek 等安全工具广泛集成，用于识别恶意软件通信模式
50%待验证传统入侵检测系统（IDS）主要分为基于签名的检测和基于异常的检测两类，经典产品包括Snort、Suricata
50%