VIP10
本课程属于：022-主机与终端安全 网络通信与数字安全工程 · 共 10 门相关课程，组合学习更完整。
查看所属VIP全部课程 →
← 返回所属目录 咨询 / 购买

终端检测响应EDR工程实践

共计 30 章节
可可资料掘金营 · 点击在线试看
01
EDR工程实践导论
目标=EDR的定义 · 核心能力 · 与EPP/NDR/XDR的关系
EDR工程实践导论
02
终端数据采集架构设计
目标=Windows/Linux/m… · 采集代理部署模式 · 数据标准化与传输通道选型
终端数据采集架构…Windows/Linu…
03
终端行为数据模型
目标=进程 · 文件 · 网络
终端行为数据模型目标=进程
04
EDR探针开发基础
目标=探针的进程注入 · 内核回调 · ETW
EDR探针开发基础
05
Windows终端采集实战
目标=利用ETW · Sysmon · 内核回调实现进程创建
Windows终端采集实战
06
Linux终端采集实战
目标=基于eBPF · auditd · fanotify实现进程
Linux终端采集实战
07
macOS终端采集实战
目标=利用Endpoint Secu… · OpenBSM · 统一日志实现终端行为采集与权限控制
macOS终端采集实战
08
终端数据管道工程
目标=采集数据的缓冲 · 压缩 · 加密
终端数据管道工程目标=采集数据的…
09
EDR数据存储与索引
目标=时序数据库 · 数据湖 · 搜索引擎选型
EDR数据存储
10
检测规则工程
目标=Sigma · YARA · KQL等规则语言
检测规则工程Sigma
11
行为检测与TTP映射
目标=基于ATT&CK的检测工程方法 · 将战术技术转化为可落地的终端检测逻辑
TTP行为检测
12
进程行为链分析
目标=父子进程关系 · 命令行参数 · 进程注入
进程行为链分析目标=父子进程关…
13
文件与持久化检测
目标=文件落地 · 注册表自启动 · 计划任务
文件持久化检测
14
网络行为检测
目标=终端侧C2通信 · DNS隧道 · 端口扫描
网络行为检测C2
15
内存与无文件攻击检测
目标=内存扫描 · 脚本块日志 · AMSI
内存无文件攻击检测
16
勒索软件检测与响应
目标=勒索行为特征 · 诱饵文件 · 卷影副本监控
勒索软件检测响应
17
横向移动检测
目标=远程服务 · PsExec · WMI
横向移动检测目标=远程服务
18
权限提升检测
目标=UAC绕过 · 令牌窃取 · 内核漏洞利用等提权行为的终端检测与工…
权限提升检测UAC
19
EDR告警降噪与优先级
目标=告警聚合 · 上下文富化 · 风险评分
EDR告警降噪
20
自动化响应与编排
目标=隔离终端 · 终止进程 · 删除文件
自动化响应编排
21
终端取证与调查
目标=EDR数据回溯 · 时间线分析 · 进程树重建
终端取证调查
22
EDR与SIEM/SOAR集成
目标=日志转发 · 告警同步 · 事件关联
EDRSIEM/SOAR
23
EDR性能与稳定性工程
目标=探针资源占用优化 · 高并发采集 · 故障恢复
EDR性能
24
EDR自身安全与对抗
目标=探针防篡改 · 防卸载 · 反调试
EDR自身安全
25
云原生终端EDR
目标=容器 · Kubernetes节点 · Serverless环境的终端检测与…
EDR云原生终端
26
EDR检测效果评估
目标=检测覆盖率 · 误报率 · MTTD/MTTR度量
EDR检测效果评估
27
EDR大规模部署工程
目标=多租户架构 · 策略下发 · 终端分组
EDR大规模部署工程
28
EDR合规与隐私
目标=数据采集边界 · 用户隐私保护 · GDPR/等保合规要求与审计日志设计
EDR合规
29
EDR攻防实战演练
目标=模拟APT攻击链 · 从初始访问到影响 · 验证EDR检测与响应能力的实战任务
EDR攻防实战演练
30
EDR工程实践综合项目
目标=从需求分析 · 架构设计 · 探针开发
EDR工程实践综合项目