安全监控

先有可见性，再谈检测

没有流量的可见性，任何检测规则都是在猜。这一节的两篇文章对应两个层次：

• ntopng —— 广度。先知道谁在跟谁通信、哪些协议在跑、哪条链路突然变忙。它不判断好坏，只呈现事实。
• Suricata —— 深度。基于协议解析和规则匹配挑出可疑行为。

顺序不能反。先上 Suricata 而没有 ntopng，告警会多到没人看；先有 ntopng，规则才有调优的依据——你知道某个 IP 平时只跟三台机器通信，那它突然扫了三百台就一定有问题。

采集点的选择

位置	拿到什么	代价
接入交换机镜像	全网总量，最完整	丢包，镜像口带宽有限
汇聚/核心	跨段流量	看不到段内东西流量
出口网关	出网流量与 NAT 前后对照	只有出向，看不到内部横向

实践里是出口必采 + 核心按需采：出口保证「有人出去了」这件事一定能看到，核心只在排查具体段内问题时临时开。

再往下：协议级日志

规模再往上、服务器资源到位之后，可以加第三层：Zeek（原 Bro）。它和 Suricata 的区别是——Suricata 回答「有没有匹配上已知的坏」，Zeek 回答「这段 SMB / DNS / HTTP 里到底发生了什么」，输出结构化协议日志（谁访问了什么共享、解析了什么域名、下载了什么文件）。

Zeek 和 Suricata 都是资源大户，部署前先确认服务器扛得住。顺序上永远放在 ntopng 之后：没有流量基线的时候，协议日志只是一堆看不懂的数字。

维护比部署难

监控系统的真实成本在规则维护上。规则库每天都在更新，误报也每天都在产生。所以这一节的验收标准不是「装上了」，是有人每周花固定时间看一次。没有这个环节的监控系统，三个月后就是一台跑着占资源的机器。