背景：记录201909-202009期间对开源网络威胁检测引擎suricata的一些理解
Suricata
Suricata是一个免费和开源，成熟，快速且强大的网络威胁检测引擎。
Suricata引擎能够进行实时入侵检测（IDS），内联入侵防御（IPS），网络安全监视（NSM）和脱机pcap处理。
Suricata使用强大而广泛的规则和签名语言来检查网络流量，并具有强大的Lua脚本支持来检测复杂的威胁。
通过YAML和JSON之类的标准输入和输出格式，与现有SIEM，Splunk，Logstash / Elasticsearch，Kibana和其他数据库之类的工具的集成变得轻松。
Suricata快速社区驱动的开发专注于安全性，可用性和效率。
Suricata项目和代码由开放信息安全基金会（OISF）拥有并提供支持，该组织是一个非营利性基金会，致力于确保Suricata作为一个开源项目的发展和持续成功。
from: https://suricata-ids.org
开源IDS
Snort
Suricata
Bro (Zeek)
OSSEC
Samhain Labs
OpenDLP
如下文章对比了一些开源IDS项目的特性
from: https://cybersecurity.att.com/blogs/security-essentials/open-source-intrusion-detection-tools-a-quick-overview
对Suricata优势总结如下：
- 较为完善的多线程处理模型
- 支持多种流量获取方式易扩展
- 支持多种日志输出形式易扩展
- 支持单边流量解析
- 支持部分隧道协议的解析
- 支持部分常见应用协议的特征识别
- 支持部分常见应用协议的文件提取
- 兼容snort规则并有扩展
- 稳定性优秀、社区活跃
计划内要分析的Suricata特性
- 整体框架分析
- 线程模型分析
- 数据流程分析
- 流量获取框架分析
- 流管理分析
- TCP/UDP Session/Segment/Stream分析
- 协议解析框架分析
- 规则匹配框架分析（优先级低）
- 文件提取框架分析
- 日志输出框架分析
- 隧道协议实现分析