VIP14
本课程属于：023-威胁检测与检测工程 网络通信与数字安全工程 · 共 14 门相关课程，组合学习更完整。
查看所属VIP全部课程 →
← 返回所属目录 咨询 / 购买

Zeek网络安全监测工程

共计 30 章节
可可资料掘金营 · 点击在线试看
01
Zeek监测工程全景
目标=Zeek的定位 · 核心能力 · 与IDS/NSM工具的关系
Zeek监测工程全景
02
实验环境与数据面搭建
目标=部署Zeek节点 · 选择镜像/直通采集模式 · 配置网卡与BPF过滤
实验环境数据面搭建
03
Zeek配置体系与启动流程
目标=zeekctl · node.cfg · networks.cfg
Zeek配置体系
04
流量采集与负载均衡
目标=AF_PACKET · PF_RING · DPDK等采集方式对比
流量采集负载均衡
05
Zeek脚本语言基础
目标=事件驱动模型 · 数据类型 · 变量作用域
Zeek脚本语言基础
06
核心事件与协议日志
目标=connection · http · dns
核心事件协议日志
07
连接日志深度解析
目标=conn.log字段语义 · 连接状态机 · 流量方向与字节计数
连接日志深度解析conn.log
08
DNS监测与隧道识别
目标=dns.log字段 · 查询类型与响应码分析 · 检测DGA
DNS监测
09
HTTP监测与Web攻击发现
目标=http.log字段 · URI · 方法
HTTPWeb
10
TLS/SSL监测与加密流量分析
目标=ssl.log字段 · 证书信息 · JA3/JA3S指纹
TLS/SSL监测
11
文件提取与哈希计算
目标=files.log · file分析框架 · MIME类型识别
文件提取哈希计算
12
文件内容检测与YARA集成
目标=在Zeek中调用YARA规则扫… · 发现恶意软件样本与可疑文档
YARA文件内容检测
13
SMTP与邮件监测
目标=smtp.log字段 · 邮件会话解析 · 识别恶意附件
SMTP邮件监测
14
FTP与SMB监测
目标=ftp.log · smb_files.log · smb_mapping.log分析
FTPSMB
15
DHCP与主机资产发现
目标=dhcp.log · ARP事件 · MAC与IP绑定关系
DHCP主机资产发现
16
软件与协议指纹识别
目标=software.log · SSH/SSL版本识别 · 发现过时服务
软件协议指纹识别
17
Intel框架与威胁情报匹配
目标=Intel · 情报类型与匹配事件 · 将IP
Intel框架
18
Notice框架与告警工程
目标=Notice类型定义 · notice.log字段 · 告警抑制与优先级
Notice框架
19
SumStats与流量基线
目标=SumStats框架 · 聚合统计 · 时间窗口
SumStats流量基线
20
自定义脚本与检测逻辑
目标=编写自定义事件处理 · 状态表 · 阈值判断
自定义脚本检测逻辑
21
日志输出与格式定制
目标=ASCII · JSON · TSV输出格式
日志输出格式定制
22
日志管道与集中存储
目标=Filebeat/Fluent… · 接入Elasticsearch/Op… · 构建集中检索与存储
日志管道存储
23
可视化与仪表盘
目标=Kibana/OpenSear… · 连接拓扑 · 告警面板和资产画像
可视化仪表盘
24
关联分析与检测规则
目标=用SIEM关联Zeek多源日志 · 编写关联规则发现扫描 · 爆破
关联分析检测规则
25
性能调优与资源控制
目标=Zeek线程模型 · 脚本性能 · 日志写入瓶颈
性能调优资源控制
26
高可用与集群运维
目标=Zeek集群管理器 · 代理节点 · 日志聚合节点
高可用集群运维
27
监测工程化与CI/CD
目标=脚本版本管理 · 配置即代码 · 自动化测试与部署
CI/CD监测工程化
28
典型攻击场景实战
目标=从流量中还原端口扫描 · 暴力破解 · Webshell
典型攻击场景实战目标=从流量
29
事件响应与取证支持
目标=基于Zeek日志进行时间线重建 · 主机隔离决策 · IOC提取和取证报告编写
事件响应取证支持
30
监测体系评估与演进
目标=检测覆盖率评估 · 误报漏报分析 · 红蓝对抗验证
监测体系评估演进