你在公司内网装了个入侵检测系统（IDS），结果发现它对微信语音通话、钉钉文件传输这些流量压根没反应——不是设备坏了，很可能是它根本不支持这些协议的深度解析。
协议类型，是IDS的“听觉器官”
入侵检测系统不像防火墙只管端口通不通，它得真正“读懂”数据包里在说什么。比如，HTTP协议里藏着SQL注入的payload，DNS协议里混着C2域名回连，这些都得靠协议解析能力才能揪出来。如果IDS只认识TCP/IP头，却看不懂TLS握手后的加密应用层内容，那再高的吞吐量也是摆设。
主流IDS通常支持的协议有哪些？
以开源Snort、Suricata和商业产品如Palo Alto Threat Prevention为例，常见支持协议包括：
- 基础网络层：IPv4、IPv6、ICMP、ICMPv6
- 传输层：TCP、UDP、SCTP
- 应用层：HTTP/1.1、HTTPS（部分支持TLS 1.2+解密后检测）、DNS、FTP、SMTP、POP3、IMAP、SSH（协议识别，非密码破解）、DHCP、NTP
注意：像HTTP/2或QUIC这类新协议，老版本Snort可能仅做流识别，不拆解帧结构；而Suricata 6.0+已原生支持HTTP/2头部解析和QUIC初步识别。
不支持的协议，真就完全不管吗？
不一定。很多IDS采用“协议无关检测”策略：即使不认识某个协议（比如企业自研的IoT设备通信协议），也能通过异常行为建模抓出异常——比如某台工控机突然在凌晨3点向境外IP发送10MB连续UDP包，即便协议字段全是乱码，流量特征也会触发告警。
举个实际例子
你用Wireshark抓到一段可疑流量，源端口5353，目标端口5353，协议显示为UDP，但Payload里全是二进制。查资料发现这是mDNS协议（苹果AirDrop、打印机发现常用）。旧版Snort默认不解析mDNS，但你可以手动添加规则：
alert udp any any -> any 5353 (msg:"Suspicious mDNS broadcast"; content:"\x00\x00\x00\x01"; depth:4; sid:1000001; rev:1;)说白了，协议支持不是玄学，是配置+版本+插件的组合结果。买设备前别光看参数表写的“支持200+协议”，最好实测下你的业务系统里真实跑的协议——比如医院PACS影像系统用的DICOM，工厂PLC通信用的Modbus TCP，这些冷门但关键的协议，往往才是检测盲区。