01
IDS基础概念
什么是入侵检测系统 · IDS与IPS的区别 · NIDS与HIDS部署模式
入门架构
02
Snort规则语法
规则头(action/protocol/ip/port) · 规则选项(content/sid/rev/msg/classtype)
Snort规则
03
Suricata架构与规则
多线程架构 · 兼容Snort · 应用层解析(HTTP/DNS/TLS)
Suricata高性能
04
Zeek (Bro) 脚本基础
事件驱动模型 · 脚本语法(事件/函数/变量) · 日志分析
Zeek脚本
05
绕过技术概述
为什么需要绕过IDS · 分类(协议级/负载级/应用级/时间级)
绕过方法论
06
协议级绕过
IP分片攻击 · TCP分段重组 · TTL欺骗 · IP选项滥用
协议分片
07
负载级绕过
大小写混淆 · Unicode/Base64/URL编码绕过
编码混淆
08
应用级绕过
HTTP请求走私 · 方法混淆 · Content-Type欺骗 · User-Agent伪造
HTTP走私
09
时间级绕过
慢速攻击(Slowloris) · 时间窗口绕过 · 随机延迟注入
慢速时序
10
Snort规则绕过实战
content局限性 · PCRE正则绕过 · 字节匹配绕过
Snort绕过
11
Suricata规则绕过实战
应用层解析器漏洞 · TLS指纹绕过 · DNS隧道检测绕过
Suricata隧道
12
Zeek脚本绕过实战
事件处理延迟 · 日志截断绕过 · 协议解析器缺陷利用
Zeek事件
13
IDS防御策略
签名优化 · 协议解析增强 · 流量归一化(Normalization)
防御策略
14
流量归一化技术
IP分片重组 · TCP流重组 · HTTP规范化 · TLS解密检测
归一化重组
15
签名优化技巧
减少误报 · 正则优化 · 多规则关联 · 阈值设置
签名优化
16
协议解析增强
深度包检测(DPI) · 应用层解析器定制 · 协议异常检测
DPI解析
17
机器学习在IDS中的应用
异常检测模型 · 特征工程 · 训练部署 · 对抗样本防御
ML异常检测
18
HIDS防御与绕过
文件完整性监控(FIM) · 进程监控 · 系统调用监控 · Rootkit检测
HIDS主机
19
NIDS防御与绕过
流量镜像与分流 · 负载均衡 · 硬件加速 · 旁路部署
NIDS网络
20
云环境IDS
虚拟化流量监控 · 云原生IDS(GuardDuty) · 容器逃逸检测
云容器
21
工控系统IDS
Modbus/TCP检测 · DNP3检测 · 工控协议深度解析
工控ICS
22
无线网络IDS
Wi-Fi入侵检测 · 蓝牙攻击检测 · 无线协议异常分析
无线Wi-Fi
23
加密流量检测
TLS指纹分析 · JA3/JA3S · 加密特征提取 · 侧信道分析
加密TLS
24
对抗机器学习与IDS
对抗样本生成 · 黑盒/白盒攻击 · 防御蒸馏
对抗ML
25
IDS日志分析与取证
日志聚合(ELK) · 关联分析 · 攻击溯源 · 证据固定
日志取证
26
IDS性能优化
规则集优化 · 内存管理 · 多核并行 · 零拷贝技术
性能优化
27
开源IDS工具对比
Snort vs Suricata vs Zeek vs Security Onion
对比开源
28
商业IDS产品分析
Cisco Firepower · Palo Alto · Trend Micro TippingPoint
商业产品
29
IDS绕过与防御实战项目
搭建环境 · 编写绕过工具 · 配置防御规则 · 攻防演练
实战项目
30
未来趋势
AI驱动IDS · 零信任架构 · 量子计算影响 · 5G挑战
趋势前沿