该论文评估了一个被动式混合网络入侵检测系统原型的实际效果，系统由三部分组成：Suricata 负责基于签名的流量检测，随机森林（Random Forest）负责流级分类，并通过集中式 ELK 栈完成告警汇聚与处理。作者的核心关切并非再刷一个检测精度指标，而是指出机器学习类 NIDS 研究中普遍存在的评测方法缺陷与落地落差。方法学上，论文刻意把「基准评测」与「PCAP/实网运营验证」两个阶段分开，并针对常见的特征重复泄漏问题做了严格控制：使用特征哈希（feature hashing）识别完全相同的特征向量，配合分组感知（group-aware）的数据切分，避免同源样本同时落入训练与测试集。在 UNSW-NB15 的 2,540,047 条记录中，作者剔除 453 个标签冲突的哈希组、共 1,879 行，最终 Development 与 Hold-out 两个数据集之间不存在任何精确特征哈希重叠。在此基础上，41 维特征的 RF-41 取得 F1 = 0.971360、ROC-AUC = 0.999671；与 NFStream 特征管线兼容的 21 维 RF-21 在同一 Hold-out 边界上取得 F1 = 0.970148。然而运营验证暴露出显著的「基准—部署」域偏移：在一份带标签的实验室 PCAP 上，RF-21 及其严格相关分支的召回率仅为 0.0095；在另外五段各 60 秒的攻击会话中，RF-21 完全没有产生任何告警。作为补充，作者在一段未标注的正常流量上测得 2,375 条流触发 439 条告警，但明确只将其作为告警比例报告，不解释为误报率，因为缺乏真实标签。结论是：公开基准上的高性能并不能直接转化为运营效果，当前 Hybrid-NIDS 应被理解为一个被动原型与评测框架；现有实验也无法证明 Suricata 与随机森林的关联融合在运营检测上优于单独使用 Suricata。适合从事 NIDS/ML 安全评测、SOC 检测工程与产品选型的研究者和工程师阅读。