课程介绍

编写 Suricata 规则：从首条告警到企业级检测与调优

课程进度0%

1　构造第一条可告警规则并完成离线验证

1.1 拆解规则七段结构并读懂动作与匹配范围

1.2 离线回放 PCAP 用测试模式触发首条告警

1.3 用 msg/sid/reference 建立可溯源告警元数据

1.4 核对 fast.log 与 eve.json 验证告警字段

2　用载荷匹配与修饰符精准锁定攻击特征

2.1 用 content 关键字匹配原始与二进制载荷

2.2 用 nocase、depth、offset 收紧匹配边界

2.3 用 distance、within 与 pcre 表达复杂特征

2.4 从 PCAP 提取攻击串并编写高精度规则

3　深入 HTTP、DNS 与 TLS 的应用层检测

3.1 用 HTTP 归一化缓冲区检测 Web 攻击

3.2 编写并验证针对恶意 HTTP 请求的规则

3.3 用 DNS 与 TLS 关键字检测隧道与恶意域

3.4 构建 DNS 与 TLS 检测规则并离线验证

4　用会话状态与关联检测识别多阶段攻击

4.1 用 flow 关键字控制会话方向与状态

4.2 用 flowbits 关联跨包的多阶段行为

4.3 实现多阶段攻击的 flowbits 关联规则

4.4 用 tcp.flags 检测异常 TCP 标志组合

5　抑制误报并调优规则性能

5.1 用 threshold 与 suppress 控制告警频次与噪声

5.2 对高误报规则实施阈值与抑制调优

5.3 读取规则性能统计定位慢规则

5.4 重写慢规则并对比优化前后吞吐

6　运营企业规则集、威胁情报与故障排查

6.1 规划企业规则集管理与威胁情报集成

6.2 部署自定义规则集并启用威胁情报源

6.3 编写面向规避流量的防御性检测规则

6.4 排查规则不告警与误报膨胀的常见故障

面向企业威胁检测的 Suricata 规则编写课程：从规则七段结构、载荷匹配与协议关键字，到 flowbits 关联检测、误报治理、性能调优与威胁情报集成，在 CentOS/RHEL 环境完成可验证的防御性实操。

适合谁学习具备 TCP/IP 与网络基础、了解基础规则语法，希望进阶企业级威胁检测、误报治理与规则性能调优，并在 CentOS/RHEL 环境实操的安全工程师与网络防御人员。

6章节

24课时

0已完成

0学习分钟

以下资料在课程创建过程中被参考，用于提高内容的准确性与时效性。