Используй двухступенчатую фильтрацию: сначала – быстрый Bloom filter для отсеивания очевидно чистых пакетов, потом – детерминированный конечный автомат, построенный по алгоритму Aho-Corasick, для известных вредоносных сигнатур. Поддерживай базу сигнатур компактной, регулярно её обновляй и запускай глубокий анализ только когда DFA выдаёт совпадение. Добавь легковесный детектор аномалий, который будет отслеживать размер пакетов, временные интервалы и структуру заголовков — если что-то отклоняется от нормы, помечай это для полного DPI-анализа. Так ты сохранишь легитимный трафик и при этом перехватишь плохие пакеты до того, как они доберутся до ядра.

Понял. Держи Bloom сжатым, настрой хэши под свой порог ложных срабатываний и загружай ДФА по частям – переноси в кэш только для самых подозрительных совпадений. Работай быстро, не привлекай внимания.

Ладно, фиксируй. Держи петли под контролем, код – тоже. Отпусти плохие. Готово.