01
IoT安全现状与威胁分析
IoT设备面临的主要安全威胁、常见攻击向量、恶意代码类型概述，建立全局威胁认知。
威胁建模攻击面
02
沙箱技术基础
沙箱的定义、工作原理、常见沙箱类型（软件沙箱、硬件沙箱、混合沙箱）及适用场景。
隔离机制虚拟化
03
沙箱环境搭建准备
虚拟机选型（VirtualBox/VMware）、操作系统选择（Ubuntu/Debian）、网络配置与快照策略。
环境部署网络规划
04
IoT恶意代码样本获取
公开样本库（VirusTotal、MalShare、Zoo）、蜜罐捕获、暗网监控与样本筛选方法。
威胁情报样本采集
05
静态分析基础
文件格式识别（ELF/PE）、字符串提取、元数据查看、哈希计算与基础特征提取。
逆向工程文件解析
06
动态分析环境配置
系统快照、网络隔离、文件系统监控、进程监控工具安装与联动配置。
行为监控环境加固
07
Cuckoo沙箱部署
Cuckoo架构介绍、主机配置、虚拟机配置、启动与测试，完成首个样本分析任务。
自动化分析Cuckoo
08
Cuckoo沙箱深度配置
自定义分析模块、YARA规则集成、API监控扩展，提升检测与行为捕获能力。
规则引擎扩展开发
09
恶意代码行为捕获
文件操作监控、注册表/配置修改监控、网络连接监控、进程创建监控与日志聚合。
行为分析日志审计
10
网络流量分析基础
tcpdump抓包、Wireshark基础过滤、流量特征提取与协议解析入门。
流量分析协议解析
11
IoT恶意代码网络行为分析
C2通信识别、DNS隧道检测、HTTP/HTTPS恶意流量特征与异常检测方法。
C2检测隧道识别
12
Mirai僵尸网络分析
Mirai源码结构、扫描模块、攻击模块、传播机制与变种演化分析。
僵尸网络DDoS
13
Bashlite/Gafgyt变种分析
样本对比、命令注入、DDoS攻击手法与家族特征提取技术。
变种分析命令注入
14
IoT勒索软件分析
文件加密行为、赎金支付机制、解密可能性评估与防御策略。
勒索软件加密分析
15
挖矿恶意代码分析
CPU/GPU占用检测、矿池通信、持久化机制与挖矿脚本逆向。
挖矿检测资源占用
16
固件逆向分析基础
固件提取、binwalk使用、文件系统挂载、固件结构分析与常见漏洞点。
固件逆向binwalk
17
固件后门分析
硬编码凭据、隐藏端口、Telnet/SSH后门、Web后门检测与利用分析。
后门检测凭据泄露
18
漏洞利用分析
已知漏洞复现（如CVE-2017-17215）、漏洞触发条件、利用链分析与缓解措施。
漏洞复现利用链
19
沙箱逃逸技术
环境检测（MAC地址、进程名、硬件信息）、反沙箱技术、绕过方法与对抗思路。
逃逸检测反沙箱
20
反沙箱对抗策略
代码混淆、加壳、多态变形、时间延迟、条件触发与动态规避技术。
代码混淆多态变形
21
自动化分析流水线
样本提交、自动分析、报告生成、告警通知与流水线编排实践。
自动化流水线
22
分析报告编写
报告结构、关键发现描述、IOC提取、缓解建议与报告模板设计。
报告编写IOC
23
IOC提取与共享
IP/域名/URL提取、文件哈希、YARA规则编写、MISP平台集成与情报共享。
威胁情报YARA
24
沙箱集群部署
分布式Cuckoo、负载均衡、任务调度、结果汇总与高可用架构设计。
分布式集群
25
云沙箱方案
AWS/阿里云沙箱部署、容器化沙箱（Docker）、Serverless方案与成本优化。
云原生容器化
26
IoT蜜罐技术
蜜罐类型（低交互/高交互）、蜜罐部署、数据采集、攻击者画像与威胁狩猎。
蜜罐攻击者画像
27
恶意代码家族分类
基于行为聚类、基于基因序列、基于机器学习分类与家族演化追踪。
机器学习聚类
28
威胁情报联动
沙箱结果与威胁情报平台对接、自动封禁、情报共享与联动响应。
情报联动自动封禁
29
沙箱安全与隐私
样本隔离、数据脱敏、日志管理、合规要求与隐私保护最佳实践。
数据安全合规
30
综合实战演练
从样本获取到报告输出的完整流程、团队协作、应急响应模拟与复盘总结。
实战演练应急响应