VIP20

本课程属于：012-IoT僵尸网络防御 物联网安全与设备身份认证 · 共 20 门相关课程，组合学习更完整。

查看所属VIP全部课程 →

← 返回所属目录咨询 / 购买

IoT设备网络行为基线与异常检测

📚 共计 30 章节

点击此处阅读海量试读课程：100+行业、1000+细分领域

课程导论：什么是网络行为基线？

为什么需要建立基线？异常检测模型的核心价值，从零构建认知框架。

网络流量基础

TCP/IP协议栈回顾、网络流量数据包结构、NetFlow/sFlow采集方法。

数据预处理

数据清洗、缺失值处理、时间戳对齐、标准化与归一化技术。

特征工程（上）

流量统计特征：包长、速率、协议分布；时间窗口特征构建。

特征工程（下）

基于会话/流的特征、卡方检验、互信息等特征选择方法。

基线建立方法（一）：统计基线

均值、标准差、百分位数、移动平均构建统计基线。

基线建立方法（二）：时间序列基线

ARIMA、季节性分解、指数平滑等时间序列建模方法。

基线建立方法（三）：机器学习基线

孤立森林、One-Class SVM、LOF等经典异常检测模型。

基线建立方法（四）：深度学习基线

自编码器（Autoencoder）、LSTM-Autoencoder深度基线模型。

异常检测算法（一）：基于阈值

静态阈值、动态阈值、自适应阈值方法详解。

异常检测算法（二）：基于距离

KNN、DBSCAN、Mahalanobis距离异常检测方法。

异常检测算法（三）：基于概率

高斯混合模型（GMM）、核密度估计（KDE）概率方法。

异常检测算法（四）：基于集成

孤立森林深入、随机森林异常检测集成方法。

异常检测算法（五）：基于深度学习

变分自编码器（VAE）、GAN异常检测前沿方法。

模型评估指标

混淆矩阵、精确率/召回率/F1、ROC曲线与AUC、PR曲线。

模型调参与优化

网格搜索、随机搜索、贝叶斯优化、交叉验证策略。

实时检测系统设计

流式处理框架（Kafka+Flink）、滑动窗口、延迟与吞吐量权衡。

告警与响应机制

告警分级、聚合、误报抑制、自动化响应（SOAR）。

案例实战（一）：DDoS攻击检测

企业内部网络DDoS攻击检测——从数据采集到模型部署全流程。

案例实战（二）：DNS隧道检测

DNS隧道检测——特征提取与模型训练全流程。

案例实战（三）：横向移动检测

基于认证日志与流量关联分析的横向移动检测。

实战横向移动

案例实战（四）：数据泄露检测

基于流量体积与内容特征的异常发现与数据泄露检测。

案例实战（五）：IoT设备异常检测

针对Mirai僵尸网络的IoT设备异常行为基线建模。

模型维护与更新

基线漂移问题、模型重训练策略、增量学习与在线学习。

可解释性（XAI）

SHAP值、LIME、特征重要性可视化、异常根因分析。

大规模部署实践

分布式架构设计、数据管道优化、模型压缩与量化。

部署大规模

合规与隐私

GDPR对流量监控的影响、数据脱敏、差分隐私在基线建模中的应用。

前沿趋势（一）：联邦学习

联邦学习在跨组织基线建模中的应用与挑战。

前沿趋势（二）：图神经网络

图神经网络（GNN）在网络流量异常检测中的前沿应用。

课程总结与未来展望

从规则到AI的演进、零信任架构与持续基线评估。