使用 Snort 进行网络入侵检测
通过 Snort 学习网络入侵检测，这是目前应用最广泛的基于特征码（signature-based）的网络防御工具之一。观察可疑流量固然有用，但要实现有效的防御，必须将流量模式转化为可监控、可分类并可采取行动的警报。本实验将教你如何安装 Snort、编写检测规则、识别恶意特征码，并在实战化的 SOC 工作流中分析警报输出。
为什么学习本课程
现代防御者需要的不仅仅是数据包捕获，他们需要可靠的检测机制，以便在繁忙的网络中精准识别可疑行为。Snort 为你提供了一个清晰的切入点，让你了解网络入侵检测系统（IDS）是如何将流量模式转化为可操作的安全警报的。
本课程侧重于这些检测背后的逻辑。你将从 Snort 的基础操作进阶到自定义规则编写、应用层内容匹配以及警报解读，从而不仅能理解 Snort 报告了什么，还能明白它为何触发警报。
你将学到什么
- 安装并以多种操作模式运行 Snort，用于测试和检测。
- 编写自定义 Snort 规则，以匹配网络层和应用层的流量模式。
- 检测扫描、探测和 Web 攻击特征码等可疑流量。
- 分析 Snort 警报输出，以洞察攻击者的行为。
- 构建一个围绕规则驱动检测的小型且实用的防御监控工作流。
课程路线图
- Snort IDS 简介：了解 Snort 的架构，以及如何运行它进行数据包检查和基础测试。
- 编写 Snort 规则：学习规则的结构，并为网络事件创建针对性的特征码。
- 检测恶意特征码：构建内容和模式匹配规则，以应对更真实的 Web 和协议攻击。
- 分析 Snort 警报：解读生成的警报，并将其与底层的流量关联起来。
- 防御边界设置：通过一项挑战应用你的技能，检测恶意侦察行为并生成可用的防御分析结果。
适合人群
- 从流量分析转向主动网络防御的学习者。
- 希望获得基于特征码检测实战经验的 SOC 分析师。
- 需要了解 IDS 规则如何构建和维护的防御者及管理员。
学习成果
完成本课程后，你将能够配置 Snort，编写并调优基础检测规则，并将 Snort 警报作为实用网络监控工作流的一部分加以利用。
