一句话口径：紫队自测的产物不是「拦住了多少」，而是 「哪条规则该响 / 实际响没响 / 没响是因为规则没加载还是真的没匹配上」这三件事分开记录。

靶场的公网入口已整体撤下，SSH 面是蜜罐 :2222，所以要先 SSH 隧道进去或用内网机器发起。 这三条选的是「行为维度」而不是「载荷维度」—— 因为真实攻击里对方最爱伪装的东西（banner、UA）最不可靠。

负样本必须一起跑：只打单端口、打几千次也不该触发 1000104 / 100401。 真实对照就在基线里 —— 179.63.84.194 的 2,752 次全落在 1433 一个口上，规则设计上它不该被「多端口」规则报出来。 只测「该响的响了」是自欺，还要测「不该响的没响」。

为什么 1000103 是 10/300s 而不是 20/300s：20 抓的是脉冲型源（29 次/5min 那种）， 10 抓的是「稳、慢、持久」的源。真实源里 ≥20 的窗口只占 2.9%，用 20 会把大部分慢速爆破漏掉 —— 这不是阈值写错，是精度与覆盖率的分层取舍，自测时要按你想验的那一层选阈值。

第一步永远是确认规则被加载（否则后面的 0 没有意义）：

# 语法验证（一次性容器，等价且不碰生产；README §3 记的就是这条）
docker run --rm --network none --pull=never -v /tmp/xkrules:/rules:ro \
  --entrypoint suricata jasonish/suricata:latest -T -S /rules/xk-lab.rules
# 结果：Suricata version 8.0.7 / Configuration provided was successfully loaded / exit 0
# 再看规则文件在不在生产目录（不在 ⇒ 后面 grep 出 0 是「没部署」）
ls -l /opt/suricata/rules/ ; ls -l /var/ossec/etc/rules/

第二步才是对账（Suricata 看 signature_id，Wazuh 看 rule.id）：

# Suricata：先数条数，再只看自己这台源，避免被别人的扫描混进来
grep -c '"signature_id":1000103' /opt/suricata/logs/eve.json
grep '"signature_id":1000103' /opt/suricata/logs/eve.json | grep '"src_ip":"10.0.0.20"'
grep '"signature_id":1000104' /opt/suricata/logs/eve.json | tail -n 5

# 1000103 的输入证据在 flow 面：会话速率
grep '"dest_port":2222' /opt/suricata/logs/eve.json | grep '"event_type":"flow"' | tail -n 50

# Wazuh：alerts.json 一行一个 JSON
grep '"id":"100400"' /var/ossec/logs/alerts/alerts.json | tail -n 3
grep -c '"id":"100401"' /var/ossec/logs/alerts/alerts.json

判读规则：grep -c 非 0 且 src_ip 是自己 → 规则真的响了； 为 0 但规则已加载 → 规则没匹配上（要去看阈值和方向）； 为 0 且规则没加载 → 未验证，不是「没命中」。

所以答案是：看不见。 不是平台没看见我，是还没把眼睛装上去 —— 两份规则文件仍在 detections/ 旁路目录，没进 /var/ossec/etc/rules/ 与 /opt/suricata/rules/，也没 reload 过 suricata / wazuh-analysisd。 这一栏留白不是偷懒，是此刻唯一诚实的写法：没有非 0 的 grep，就没有「命中」这个词。

填这一栏的顺序：①部署两份文件 → ②suricata -T / wazuh-analysisd -t 通过后 reload → ③按上面三条打 → ④grep 记数（含负样本对照）→ ⑤只把有 grep 支撑的行改成「命中」或「没命中」。

公开：规则 id、判据（窗口 / 阈值 / 端口组）、每条规则背后的真实计数与窗口分布、 发起命令的形状、验证用的 grep、以及「未部署 ⇒ 未验证」这个结论本身。
不公开：生产环境的完整规则文件内容、真实服务器地址之外的内部拓扑、蜜罐真实口令与凭据、 以及任何还没部署就宣称「已生效」的说法 —— 最后这条不是安全问题，是诚信问题。

数字出处：detections/README.md（§0 侦察表、§1/§2 规则表、§3 语法验证、§4 边界） 与它引用的 /opt/suricata/logs/eve.json 统计。 规则本体在 detections/suricata/xk-lab.rules 与 detections/wazuh/xk-lab_rules.xml。 配套笔记见 《我打的攻击，我的平台能看见吗》。