1. 课程导论：Scorecard可视化IDP签名链路拓扑变更与流量路径
1.1 课程目标
本课程旨在帮助网络安全运维与架构设计人员，掌握如何利用 Scorecard 这一可视化工具，对 IDP（入侵检测与防御）系统的签名链路拓扑变更与流量路径进行实时监控、分析与调优。通过本课程的学习，学员将能够：
- 理解 IDP 签名链路的核心组件：从流量采集、签名匹配、告警生成到阻断响应的完整链路。
- 掌握 Scorecard 可视化面板的构建方法：将抽象的拓扑变更与流量路径转化为直观的图形化仪表盘。
- 识别拓扑变更对安全策略的影响：当网络设备、签名规则或流量路径发生变更时，快速定位潜在风险。
- 优化流量路径与签名策略：基于 Scorecard 提供的可视化数据，调整签名优先级、减少误报、提升检测效率。
- 建立变更与流量基线：通过历史数据对比，实现异常行为的快速预警与根因分析。
核心产出： 学员将能够独立搭建一套 Scorecard 可视化看板，实时呈现 IDP 签名链路的拓扑变更与流量路径，并基于数据做出安全决策。
1.2 适用人群
本课程面向以下三类核心人群，每类人群的关注点与收益各有侧重：
| 人群分类 | 角色描述 | 课程收益 |
|---|---|---|
| 安全运维工程师 | 负责 IDP 设备的日常运维、签名更新与告警处理 | 快速定位拓扑变更导致的误报/漏报，提升运维效率 |
| 网络安全架构师 | 负责网络拓扑设计、安全策略规划与 IDP 部署架构 | 通过可视化数据验证架构变更的合理性，优化流量路径 |
| 安全分析师 / SOC 分析师 | 负责告警研判、事件调查与威胁狩猎 | 结合流量路径与签名链路，提升告警关联分析与溯源能力 |
1.3 前置知识
为了确保学习效果，学员应具备以下基础知识与技能：
- 网络基础：理解 OSI 模型、TCP/IP 协议栈、路由与交换原理。
- IDP/IDS/IPS 基础：了解入侵检测与防御系统的基本工作原理，包括签名匹配、状态检测、应用识别等。
- 基础数据分析能力：能够理解日志、流量数据的基本字段含义，具备简单的数据对比与趋势分析能力。
- 可视化工具基础（可选但推荐）：对 Grafana、Kibana 或类似可视化平台有基本了解，有助于快速上手 Scorecard。
提示： 如果学员对 IDP 签名机制尚不熟悉，建议先阅读附录中的《IDP 签名原理速查表》或完成预备章节的学习。
1.4 课程知识体系概览
本课程共分为 6 个模块，从基础概念到实战部署，逐步深入。下图展示了课程的核心知识结构：
1.5 课程学习路径与评估方式
为了帮助学员高效学习，课程设计了清晰的路径与评估机制：
| 阶段 | 学习内容 | 评估方式 | 建议时长 |
|---|---|---|---|
| 基础阶段 | 模块1 + 模块2 | 在线测验（10题） | 2小时 |
| 进阶阶段 | 模块3 + 模块4 | Scorecard看板搭建作业 | 3小时 |
| 实战阶段 | 模块5 | 案例分析与调优报告 | 2小时 |
| 综合阶段 | 模块6 | 综合项目答辩 | 3小时 |
注意： 每个阶段的评估必须达到 80% 以上的正确率或通过导师评审，方可进入下一阶段。请合理安排学习时间，确保充分掌握每个模块的核心知识点。