Giới thiệu dự án

Trong kỷ nguyên chuyển đổi số và bùng nổ thương mại điện tử, an toàn thông tin mạng trở thành yếu tố sống còn đối với mọi tổ chức và doanh nghiệp. Theo các báo cáo an ninh mạng toàn cầu, hơn 75% các cuộc tấn công hiện đại tập trung vào tầng ứng dụng (Layer 7), vượt qua các cơ chế kiểm soát truyền thống dựa trên địa chỉ IP và Port. Các hình thức tấn công như quét cổng (Port Scanning), thăm dò mạng (Ping Sweep), nghe lén (Sniffing), tấn công từ chối dịch vụ (DoS/DDoS) và mã độc khai thác lỗ hổng ngày càng tinh vi, đặt ra thách thức lớn cho các hệ thống phòng thủ vành đai.

Tường lửa truyền thống (Stateful Packet Filtering Firewall) chỉ hoạt động tại tầng mạng và tầng giao vận (Layer 3 - Layer 4), không có khả năng giải mã nội dung gói tin, dẫn đến điểm mù bảo mật nghiêm trọng trước các mối đe dọa ẩn danh qua giao thức HTTP, mã hóa SSL/TLS hoặc kỹ thuật phân mảnh gói tin lẩn tránh (Fragmentation Evasion).

+-------------------------------------------------------------------------+
|                  MÔ HÌNH BẢO MẬT PHÒNG THỦ MẠNG VÀNH ĐAI               |
+-------------------------------------------------------------------------+
       Internet (Mạng không tin cậy)
                 │
                 ▼
       ┌──────────────────┐
       │ Edge Router/NAT  │
       └─────────┬────────┘
                 │
                 ▼
     ┌───────────────────────┐
     │  SURICATA NGFW/IPS    │ ◄── [Deep Packet Inspection (DPI)]
     │  (In-line / Passive)  │ ◄── [Application Identification]
     └───────────┬───────────┘ ◄── [Multi-threading Engine]
                 │
                 ├───────────────────────────────┐
                 ▼                               ▼
       ┌──────────────────┐            ┌──────────────────┐
       │ Enterprise LAN   │            │ DMZ Web/Mail Svr │
       └──────────────────┘            └──────────────────┘

Đề tài "Nghiên cứu các chức năng của tường lửa thế hệ mới Suricata và ứng dụng trong mạng nội bộ doanh nghiệp" tập trung giải quyết triệt để bài toán kiểm soát an ninh đa tầng với các mục tiêu cụ thể:

  1. Phân tích nguyên lý hoạt động của Tường lửa thế hệ mới (Next-Generation Firewall - NGFW) kết hợp Hệ thống phát hiện và ngăn chặn xâm nhập (IDS/IPS).
  2. Nghiên cứu kiến trúc xử lý đa luồng (Multi-threading Engine) và thư viện phân tích giao thức ứng dụng HTP trong Suricata.
  3. Thiết lập hệ thống tập luật (Rule syntax & signatures) chuyên sâu để nhận dạng, cảnh báo và ngăn chặn các giao thức mạng ICMP, TCP, UDP và HTTP.
  4. Triển khai mô hình thử nghiệm thực tế trên nền tảng Linux, tối ưu hóa khả năng phân tích lưu lượng gói tin (PCAP) và giảm thiểu cảnh báo sai (False Positive).
  5. Nghiên cứu giải pháp tăng tốc phần cứng thông qua mở rộng DPDK và GPU nhằm đáp ứng hạ tầng mạng doanh nghiệp tốc độ cao.

Phạm vi nghiên cứu tập trung vào triển khai hệ thống Suricata IDS/IPS bảo vệ mạng nội bộ (Enterprise Intranet), kiểm soát lưu lượng In-line và phân tích gói tin chuyên sâu ở tốc độ Gigabit.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Các giải pháp tường lửa và giám sát an ninh mạng hiện nay bộc lộ nhiều điểm hạn chế khi đặt trong môi trường mạng doanh nghiệp hiện đại:

Tiêu chí Tường lửa truyền thống (iptables/Cisco PIX) IDS/IPS truyền thống (Snort 2.x) Tường lửa thế hệ mới (Suricata NGFW/IPS)
Mô hình kiến trúc Đơn luồng (Single-thread), lọc gói tĩnh/trạng thái Đơn luồng, phụ thuộc nhiều vào CPU đơn nhân Đa luồng song song (Multi-threaded), tối ưu CPU đa lõi
Tầng kiểm tra Network & Transport Layer (Layer 3 - 4) Deep Packet Inspection (Layer 3 - 7) Deep Packet Inspection & App-Identification (Layer 7)
Xử lý giao thức HTTP Không hỗ trợ kiểm tra nội dung HTTP Parser cơ bản, dễ bị tấn công lẩn tránh Tích hợp HTP Parser chuyên dụng, chuẩn hóa HTTP request/response
Bắt gói tin tốc độ cao Hạn chế khi lưu lượng vượt ngưỡng 1 Gbps Nghẽn cổ chai (Drop packets) ở lưu lượng lớn Hỗ trợ AF_PACKET, PF_RING, NETMAP và tăng tốc phần cứng DPDK/GPU
Chi phí bản quyền Bản quyền phần cứng cao (Palo Alto, Check Point) Mã nguồn mở / Quy chuẩn mở Hoàn toàn mở (GNU GPLv2), miễn phí triển khai doanh nghiệp

Yêu cầu người dùng và hệ thống được phân loại theo mô hình MoSCoW:

  • Must have: Khả năng kiểm tra gói tin sâu (In-line DPI); phát hiện và chặn lưu lượng ICMP Sweep, TCP SYN Flood, UDP Scanning; cơ chế ghi log chuẩn EVE JSON/Fast Log.
  • Should have: Tích hợp quản lý ngưỡng cảnh báo (thresholding); hỗ trợ cấu hình theo dõi trạng thái luồng (flowbits).
  • Could have: Tích hợp bộ tăng tốc xử lý biểu thức chính quy (Hyperscan/GPU) và đường truyền dữ liệu không sao chép (Zero-copy packet acquisition).
  • Won't have: Giao diện điều khiển Web GUI tích hợp sẵn trong nhân (sử dụng công cụ bên thứ ba để trực quan hóa).

Thiết kế hệ thống

Kiến trúc Suricata được thiết kế theo mô hình 4 khối module hoạt động dạng đường ống (pipeline) đa luồng:

graph TD
    A[Lưu lượng mạng / Gói tin thô] --> B[Module 1: The Sniffer / Packet Decoder]
    B -->|Giải mã Ethernet, IP, TCP/UDP/ICMP| C[Module 2: Preprocessors]
    C -->|Chống phân mảnh Defrag, Tái gộp Stream5, Chuẩn hóa HTP| D[Module 3: Detection Engine]
    D -->|Khớp tập luật: Rule Header & Rule Options| E{Phát hiện xâm nhập?}
    E -- Không khớp --> F[Forward gói tin / Pass]
    E -- Khớp luật --> G[Module 4: Alert / Logging & Action Engine]
    G --> H[Drop / Reject gói tin]
    G --> I[Ghi Log: fast.log, eve.json, PCAP, Syslog]

Technology Stack triển khai:

  • Hệ điều hành: Linux (CentOS 7.x / Ubuntu Server 16.04/18.04 LTS kernel 3.x/4.x).
  • Cốt lõi IDS/IPS: Suricata Core Engine (ngôn ngữ C, hỗ trợ POSIX Threads).
  • Thư viện phụ thuộc: libpcap (Packet Capture API), libhtp (HTTP Parser & Normalizer), libnet, pcre (Perl-Compatible Regular Expressions), libyaml (YAML Parser).
  • Quản lý luật: Oinkmaster script tự động hóa đồng bộ Rule signatures từ cộng đồng OISF/Emerging Threats.
  • Mở rộng phần cứng: Khung làm việc DPDK (Data Plane Development Kit) và NVIDIA CUDA cho xử lý song song khối dữ liệu lớn.

Methodology

Phương pháp tiếp cận được tiến hành qua các giai đoạn kỹ thuật rõ ràng:

  1. Khảo sát & Phân tích: Đánh giá các lỗ hổng mạng biên và các kỹ thuật tấn công phổ biến.
  2. Thiết kế & Cấu hình: Xây dựng file cấu hình tổng thể suricata.yaml, thiết lập giao diện mạng (eth0/eth1), phân bổ luồng CPU workers.
  3. Phát triển tập luật (Rule Engineering): Viết luật tùy biến cho từng loại giao thức và thử nghiệm tấn công mô phỏng.
  4. Đánh giá & Tối ưu: Phân tích log, đo lường tỷ lệ bắt gói tin, hiệu chỉnh thresholding và flowbits nhằm triệt tiêu báo động giả.

Implementation và kết quả

Development process

Cấu trúc một tập luật trong Suricata bao gồm hai phần chính: Rule Header và Rule Options.

┌─────────────────────────────────────────────── RULE HEADER ────────────────────────────────────────────────┐
│ Action   Protocol   Src IP        Src Port   Direction   Dst IP        Dst Port                        │
│ alert    tcp        $EXTERNAL_NET any        ->          $HTTP_SERVERS $HTTP_PORTS                     │
└────────────────────────────────────────────────────────────────────────────────────────────────────────────┘
┌─────────────────────────────────────────────── RULE OPTIONS ───────────────────────────────────────────────┐
│ (msg:"WEB-ATTACK Directory Traversal"; flow:to_server,established; content:"/.."; http_uri; sid:1000001; rev:1;) │
└────────────────────────────────────────────────────────────────────────────────────────────────────────────┘

1. Phát hiện và ngăn chặn tấn công thăm dò ICMP (Ping Sweep)

Khi tin tặc gửi liên tiếp các gói tin ICMP Echo Request (Type 8, Code 0) nhằm quét máy chủ đang hoạt động, Suricata sử dụng trường itype kết hợp bộ đo ngưỡng threshold:

# Cảnh báo Ping Sweep từ mạng ngoài vào hệ thống nội bộ
alert icmp $EXTERNAL_NET any -> $HOME_NET any (
    msg:"SCAN ICMP Echo Request - Suspected Ping Sweep";
    itype:8;
    icode:0;
    threshold: type both, track by_src, count 20, seconds 5;
    classtype:attempted-recon;
    sid:1000002;
    rev:1;
)

# Chặn hoàn toàn gói tin ICMP Ping trái phép ở chế độ Inline IPS
drop icmp $EXTERNAL_NET any -> $HOME_NET any (
    msg:"SECURITY-POLICY Blocked ICMP Ping Request";
    itype:8;
    sid:1000003;
    rev:1;
)

2. Kiểm soát và phát hiện quét cổng TCP (TCP Port Scan / SYN Flood)

Sử dụng các cờ TCP và trường flags kết hợp flow để kiểm tra kết nối bất thường:

# Phát hiện quét cổng SYN bí mật (SYN Scan không hoàn tất bắt tay 3 bước)
alert tcp $EXTERNAL_NET any -> $HOME_NET any (
    msg:"SCAN SYN Scan Detected";
    flags:S,12;
    flow:stateless;
    threshold: type threshold, track by_src, count 30, seconds 10;
    classtype:attempted-recon;
    sid:1000004;
    rev:1;
)

# Ngăn chặn truy cập dịch vụ SSH từ dải mạng không tin cậy
drop tcp $EXTERNAL_NET any -> $HOME_NET 22 (
    msg:"SECURITY-POLICY Unauthorized External SSH Connection Blocked";
    flow:to_server,established;
    sid:1000005;
    rev:1;
)

3. Phân tích gói tin tầng ứng dụng HTTP bằng thư viện HTP

Tận dụng tính năng bóc tách trường HTTP nâng cao (http_method, http_uri, http_client_body):

# Phát hiện tấn công chèn mã độc hại qua phương thức HTTP POST
alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS 80 (
    msg:"WEB-ATTACK SQL Injection in HTTP POST Body";
    flow:to_server,established;
    http_method;
    content:"POST";
    http_client_body;
    content:"UNION SELECT"; nocase;
    classtype:web-application-attack;
    priority:1;
    sid:1000006;
    rev:1;
)

4. Cấu hình phân luồng và quản trị trong suricata.yaml

%YAML 1.1
---
suricata-version: "3.0"

# Cấu hình phân bổ luồng xử lý tự động tối ưu CPU
runmode: workers

# Cấu hình interface bắt gói In-line thông qua AF-PACKET
af-packet:
  - interface: eth0
    threads: auto
    cluster-id: 99
    cluster-type: cluster_flow
    defrag: yes
    use-mmap: yes
  - interface: eth1
    threads: auto
    cluster-id: 98
    cluster-type: cluster_flow
    defrag: yes
    use-mmap: yes

# Khai báo biến môi trường mạng
vars:
  address-groups:
    HOME_NET: "[192.168.1.0/24,10.0.0.0/8]"
    EXTERNAL_NET: "!$HOME_NET"
    HTTP_SERVERS: "$HOME_NET"
  port-groups:
    HTTP_PORTS: "80,8080"

Testing và validation

Hệ thống được đưa vào kiểm thử thực nghiệm trong mô hình mạng gồm: Máy tấn công (External Attacker - Kali Linux), Máy tường lửa Suricata (Gateway Linux 2 card mạng eth0/eth1) và Máy chủ mục tiêu (Internal Target Server).

[Attacker: 192.168.10.50] ──── (eth0) [Suricata Gateway] (eth1) ──── [Server: 192.168.1.100]

Kết quả kiểm thử cho từng kịch bản:

  • Kịch bản 1 (ICMP Ping Test): Sử dụng ping -c 50 192.168.1.100. Khi áp dụng rule drop, toàn bộ gói tin bị chặn tại giao diện eth0, máy tấn công nhận thông báo packet loss 100%, log file fast.log ghi nhận đầy đủ SID 1000003.
  • Kịch bản 2 (Nmap Port Scanning): Thực hiện nmap -sS -p 1-1024 192.168.1.100. Suricata bắt chính xác các gói tin SYN scan vượt ngưỡng thiết lập, kích hoạt cảnh báo classtype: attempted-recon trong vòng 1.2 giây từ khi bắt đầu quét.
  • Kịch bản 3 (TCP/UDP Data Injection): Thử nghiệm truyền tải gói tin UDP bất thường bằng hping3 --udp -p 53. Hệ thống kích hoạt cơ chế drop và phân tích sâu trường dsize cùng nội dung payload chính xác.

Kết quả đạt được

Hệ thống đạt được các chỉ số hiệu năng cụ thể qua thực nghiệm:

  • Khả năng bắt gói tin: Tỷ lệ mất gói (Packet Loss Rate) xấp xỉ 0% trên luồng lưu lượng liên tục 1 Gbps.
  • Độ trễ xử lý (Latency): Tăng thêm không đáng kể (< 0.15 ms trên mỗi phiên xử lý In-line).
  • Độ chính xác nhận diện: 100% các cuộc tấn công quét mạng (Ping Sweep, SYN Scan, Null Scan) được định danh chính xác.
  • Tối ưu hóa tài nguyên: Giảm thiểu hơn 85% cảnh báo trùng lặp/rác nhờ vào cấu hình linh hoạt của module Thresholding và Flowbits.

Đổi mới và đóng góp

Nghiên cứu mang lại những đóng góp kỹ thuật quan trọng trong việc ứng dụng công nghệ mạng thế hệ mới:

graph LR
    subgraph SingleThread [Kiến trúc cũ - Snort 2.x]
        P1[Packet Stream] --> T1[Core 1: Decoding + Detection + Alert]
        T1 --> Drop[Nghẽn cổ chai khi lưu lượng > 1Gbps]
    end
    
    subgraph MultiThread [Kiến trúc Suricata đa luồng]
        P2[Packet Stream] --> LB[Flow Load Balancing]
        LB --> W1[Worker Thread 1: Core 1]
        LB --> W2[Worker Thread 2: Core 2]
        LB --> W3[Worker Thread 3: Core 3]
        LB --> W4[Worker Thread 4: Core 4]
        W1 --> Out[Line-Rate Throughput Multi-Gigabit]
        W2 --> Out
        W3 --> Out
        W4 --> Out
    end

Các cải tiến kỹ thuật nổi bật

  1. Khả năng xử lý đa luồng tự nhiên (Native Multi-threading): Khác biệt hoàn toàn với mô hình đơn luồng của Snort thế hệ cũ, Suricata phân bổ các tiến trình Receive, Decode, Stream, Detect và Output trên nhiều lõi CPU đồng thời. Điều này cho phép mở rộng tuyến tính thông lượng xử lý theo số nhân của máy chủ phần cứng.
  2. Tích hợp bộ phân tích giao thức HTTP chuyên dụng (Libhtp): Giải quyết triệt để vấn đề giải mã các chuỗi URL mã hóa Hex, Gzip compression, Chunked Transfer Encoding - những kỹ thuật thường bị hacker lợi dụng để vượt qua tường lửa truyền thống.
  3. Mở rộng tăng tốc phần cứng với GPU và DPDK (Chương 4): Đề xuất giải pháp tích hợp thư viện DPDK nhằm loại bỏ chi phí ngắt của nhân hệ điều hành (Kernel bypass zero-copy), kết hợp kiến trúc tính toán song song của GPU NVIDIA (CUDA). Kết quả thử nghiệm mã hóa và khớp chuỗi dữ liệu lớn cho thấy GPU giúp rút ngắn thời gian xử lý mẫu dữ liệu lớn từ 3.5x đến 5x so với tính toán thuần túy trên CPU.

Ứng dụng thực tế và triển khai

Mô hình triển khai doanh nghiệp

Hệ thống có thể được triển khai linh hoạt theo 2 mô hình chính tùy thuộc vào quy mô hạ tầng:

[MÔ HÌNH 1: IN-LINE IPS GATEWAY]
Internet ───► [Card 1: eth0] SURICATA IPS [Card 2: eth1] ───► Core Switch ───► Internal Hosts
              (Chặn trực tiếp gói tin vi phạm thời gian thực)

[MÔ HÌNH 2: PASSIVE NSM / IDS (SPAN/MIRROR PORT)]
Core Switch (Port Mirroring/SPAN) ───► [eth0] SURICATA IDS (Chỉ ghi log & gửi Alert)
  1. Chế độ Inline IPS (Bảo vệ tích cực): Đặt trực tiếp trên đường truyền vành đai giữa Router biên và Switch trung tâm. Suricata đóng vai trò cầu nối (Bridge) hoặc dùng giao tiếp AF_PACKET / NFQueue để loại bỏ gói tin độc hại (Drop/Reject) trước khi đến máy chủ đích.
  2. Chế độ Passive IDS/NSM (Giám sát thụ động): Kết nối vào cổng SPAN/Mirror của Switch mạng nhằm phân tích lưu lượng, trích xuất file payload phục vụ công tác điều tra số (Digital Forensics) mà không làm ảnh hưởng đến tính liên tục của mạng.

Phân tích hiệu quả kinh tế (Cost-Benefit Analysis & ROI)

  • Chi phí đầu tư ban đầu: Giảm hơn 70% - 85% so với việc mua sắm các thiết bị phần cứng tường lửa chuyên dụng đắt đỏ (Palo Alto, Fortinet) nhờ tận dụng hạ tầng máy chủ x86 hiện có và hệ điều hành nguồn mở Linux.
  • Khả năng làm chủ công nghệ: Quản trị viên hoàn toàn chủ động trong việc cập nhật luật, tùy biến chữ ký tấn công đặc thù nội bộ mà không phụ thuộc vào chu kỳ phát hành bản vá của nhà cung cấp thương mại.

Hạn chế và hướng phát triển

Hạn chế kỹ thuật

  • Việc kích hoạt kiểm tra sâu toàn bộ các trường của payload trên các luồng lưu lượng mã hóa SSL/TLS 1.3 đòi hỏi kết hợp thêm giải pháp phân giải mã (SSL Decryption Proxy/Man-in-the-Middle), gây tiêu tốn tài nguyên RAM và CPU.
  • Tập luật quá lớn (> 30.000 rules) nếu không được tối ưu hóa theo đặc thù dịch vụ mạng nội bộ có thể làm tăng độ trễ xử lý gói tin.

Hướng nghiên cứu và phát triển tiếp theo

  • Nghiên cứu tích hợp mô hình Học máy (Machine Learning / Deep Learning) vào tầng tiền xử lý để phát hiện các cuộc tấn công Zero-day và hành vi bất thường mà không cần chữ ký (Signature-less detection).
  • Ứng dụng công nghệ eBPF/XDP (eXpress Data Path) trên nhân Linux hiện đại để lọc gói tin ở mức driver card mạng trước khi chuyển giao vào không gian người dùng (User-space).

Đối tượng hưởng lợi

┌─────────────────────────────────────────────────────────────────────────────┐
│                       ĐỐI TƯỢNG HƯỞNG LỢI DỰ ÁN                             │
├──────────────────────┬──────────────────────────────────────────────────────┤
│ 👨‍🎓 Sinh viên CNTT   │ Tài liệu học tập thực nghiệm về an toàn mạng, kiến   │
│                      │ trúc IDS/IPS và kỹ thuật bóc tách gói tin TCP/IP.    │
├──────────────────────┼──────────────────────────────────────────────────────┤
│ 👨‍💻 Kỹ sư Network/Sec │ Bộ khung triển khai Suricata chi tiết, mẫu rule thực │
│                      │ tế và phương pháp tối ưu hóa hiệu năng đa luồng.     │
├──────────────────────┼──────────────────────────────────────────────────────┤
│ 🏢 Doanh nghiệp SME  │ Giải pháp tường lửa NGFW mã nguồn mở hiệu quả cao,   │
│                      │ tiết kiệm hàng nghìn USD chi phí bản quyền bảo mật.  │
├──────────────────────┼──────────────────────────────────────────────────────┤
│ 🔬 Nhà nghiên cứu    │ Dữ liệu tham chiếu về tối ưu hóa phần cứng GPU/DPDK   │
│                      │ trong xử lý gói tin mạng tốc độ cao (Multi-gigabit). │
└──────────────────────┴──────────────────────────────────────────────────────┘

Câu hỏi thường gặp

1. Cấu hình phần cứng tối thiểu để triển khai Suricata cho doanh nghiệp quy mô 200-500 người dùng là gì?

Máy chủ phần cứng hoặc máy ảo tối thiểu cần trang bị CPU 4-8 Cores (Intel Xeon hoặc tương đương), 16GB RAM, 2 cổng mạng Gigabit Ethernet (hỗ trợ driver đa hàng đợi RX/TX). Ổ đĩa SSD chuẩn NVMe được khuyến nghị để xử lý ghi log tốc độ cao.

2. Suricata có thể thay thế hoàn toàn tường lửa truyền thống như iptables không?

Suricata hoàn toàn có thể thay thế và vượt trội hơn iptables ở khả năng phát hiện/chặn ứng dụng và phân tích nội dung gói tin (Layer 7). Tuy nhiên, mô hình tối ưu nhất trong thực tế là kết hợp Suricata In-line IPS với các quy tắc lọc gói cơ bản của iptables/nftables để lọc nhanh lưu lượng rác ở tầng mạng trước khi đưa vào kiểm tra sâu.

3. Làm cách nào để tự động cập nhật tập luật bảo mật mới nhất cho Suricata?

Quản trị viên có thể sử dụng công cụ Oinkmaster hoặc suricata-update kết hợp với cron job định kỳ tải các tập luật từ cộng đồng Emerging Threats Open (ET Open) hoặc OISF.

4. Suricata xử lý lưu lượng mạng bị mã hóa SSL/TLS như thế nào?

Suricata có thể bóc tách và kiểm tra các thông tin không bị mã hóa trong quá trình bắt tay SSL/TLS Handshake như trường SNI (Server Name Indication), chứng chỉ số (X.509 Certificate) và địa chỉ IP/Cổng để phát hiện tên miền độc hại mà không cần giải mã toàn bộ nội dung phiên truyền.

5. Cơ chế Thresholding giúp giảm thiểu cảnh báo sai (False Positive) ra sao?

Bằng cách thiết lập từ khóa threshold: type both, track by_src, count N, seconds T, Suricata giới hạn chỉ tạo ra một số lượng cảnh báo nhất định trong một khung thời gian cho cùng một nguồn tấn công, ngăn chặn tình trạng tràn ngập tệp tin log và quá tải hệ thống giám sát.

Kết luận

Đồ án tốt nghiệp "Nghiên cứu các chức năng của tường lửa thế hệ mới Suricata và ứng dụng trong mạng nội bộ doanh nghiệp" đã phân tích sâu sắc và giải quyết thành công bài toán phòng thủ mạng vành đai cho doanh nghiệp. Thông qua việc phân tích kiến trúc đa luồng, cơ chế giải mã giao thức HTTP và xây dựng tập luật nhận dạng đa dạng, đề tài đã chứng minh tính ưu việt vượt trội của Suricata so với các giải pháp truyền thống.

Kết quả thử nghiệm thực tế khẳng định Suricata là nền tảng NGFW/IPS mã nguồn mở mạnh mẽ, có tính ổn định cao, độ tin cậy tuyệt đối và khả năng mở rộng linh hoạt. Đây là giải pháp an ninh mạng tối ưu, đáp ứng hoàn hảo yêu cầu bảo mật thông tin và tối đa hóa hiệu quả đầu tư cho các tổ chức, doanh nghiệp trong thời đại số.