入侵检测与流量分析，是发现攻击行为的核心手段。本章节带你掌握 IDS/IPS、日志审计、流量抓包分析的方法，学习从流量与日志中识别端口扫描、SQL 注入等攻击行为，构建企业级入侵检测体系。
IDS/IPS 工作原理与部署
理解网络入侵检测（NIDS）与主机入侵检测（HIDS）的工作机制，掌握规则配置与部署模式。
异常流量识别技巧
识别端口扫描、暴力破解、隧道流量等攻击特征，学习流量基线对比与异常分析方法。
系统与应用日志审计
收集并分析防火墙、Web 服务器、主机系统日志，从日志中发现攻击痕迹与异常行为。
Wireshark 抓包与分析实践
使用 Wireshark 分析 PCAP 流量，还原攻击报文交互过程，定位攻击行为的关键特征。
Snort/Zeek 工具使用
掌握 Snort/Zeek 的规则配置与日志分析，通过开源工具实现对攻击行为的自动化检测。
入侵告警分析与处置
学习入侵告警分级、误报排除方法，从告警中还原攻击行为，快速定位威胁来源。
流量基线与威胁建模
建立企业正常流量基线，通过对比分析识别异常流量，构建精准的威胁检测模型。
入侵检测体系优化
学习 IDS/IPS 规则调优、告警降噪方法，提升检测效率，减少误报与漏报。