第1章
日志审计基础
日志的定义与价值 · 日志来源分类 · 审计核心目标
系统日志安全日志
第2章
日志采集技术
Syslog协议 · ELK/EFK架构 · Flume vs Logstash
采集管道
第3章
日志标准化
CEF/LEEF/JSON · 字段映射清洗 · 时间戳归一化
规范ETL
第4章
异常行为理论基础
异常检测定义 · Kill Chain · MITRE ATT&CK
威胁建模框架
第5章
基于规则的异常检测
规则引擎 · Sigma编写 · Snort/Suricata实战
规则NIDS
第6章
统计分析异常检测
基线建模 · Z-Score · 移动平均线
统计基线
第7章
机器学习异常检测 (上)
随机森林 · XGBoost · 日志分类
监督学习分类
第8章
机器学习异常检测 (下)
孤立森林 · AutoEncoder · 日志聚类
无监督聚类
第9章
时间序列异常检测
ARIMA · Prophet · LSTM时序分析
时序预测
第10章
用户行为分析 (UEBA)
UEBA框架 · 用户画像 · 异常登录检测
UEBA身份
第11章
网络流量异常检测
NetFlow/IPFIX · DDoS识别 · DNS隧道
流量NTA
第12章
Web日志异常挖掘
SQL注入特征 · XSS模式 · CSRF/SSRF
Web安全OWASP
第13章
数据库审计异常
慢查询分析 · 异常SQL · 暴力破解识别
数据库审计
第14章
主机日志异常分析
Windows Event Log · Linux Syslog · 进程/网络异常
主机EDR
第15章
容器与K8s日志审计
Docker日志 · K8s审计日志 · Pod异常检测
容器Kubernetes
第16章
云环境日志审计
AWS CloudTrail · Azure Monitor · GCP最佳实践
云安全CSP
第17章
威胁情报集成
STIX/TAXII · IOC提取匹配 · 情报源管理
威胁情报IOC
第18章
关联分析技术
Apriori关联规则 · 时序关联 · 攻击场景重建
关联场景
第19章
图分析在日志审计中的应用
Neo4j基础 · 实体关系图 · 异常路径发现
图数据库关系
第20章
日志降噪与告警疲劳
告警聚合 · 优先级排序 · 误报率优化
降噪告警
第21章
实时异常检测架构
Flink/Kafka Streams · 窗口计算 · 状态管理
流处理实时
第22章
日志存储与检索优化
Elasticsearch索引优化 · 冷热分层 · 生命周期
存储ES
第23章
数据可视化与仪表盘
Kibana技巧 · Grafana告警 · 态势感知大屏
可视化仪表盘
第24章
日志审计合规要求
等保2.0 · GDPR审计 · PCI DSS日志规范
合规等保
第25章
事件响应与取证
日志取证流程 · 时间线重建 · 数字证据链
取证响应
第26章
自动化响应 (SOAR)
Playbook设计 · SIEM联动 · 自动封禁隔离
SOAR自动化
第27章
日志审计平台建设
SIEM选型(Splunk/QRadar/ELK) · 架构设计 · 容量规划
平台SIEM
第28章
红蓝对抗中的日志绕过
日志清除技术 · 篡改检测 · 防绕过策略
红蓝对抗绕过
第29章
前沿技术探索
联邦学习隐私保护 · LLM辅助分析 · 因果推断
前沿AI
第30章
综合实战项目
从零搭建企业级日志审计系统 · 全流程覆盖
实战全栈