本课程面向希望学习 HTTP 检测规则的初学者。你将调查抓包文件中虚构的文档上传，交付能够区分违规传输与合法流量的有效检测器。
两个引导实验先介绍请求字段、离线重放与告警解读，再结合目的地和文档上下文减少噪声。挑战更换收集端和文档类型，让你独立应用相同机制。
你将学到什么
- 读取 HTTP 请求的方法、主机、URI 和正文。
- 使用 HTTP 粘性缓冲区编写 Suricata 规则并测试语法。
- 重放合成 PCAP，将 JSON 告警关联到请求。
- 组合策略条件，同时测试应命中和不应命中的流量。
本课程适合谁
适合对网络检测感兴趣的初学者。需要会输入终端命令和切换标签页；不需要 IDS、编程或抓包分析经验。每个单元都提供独立的浏览器 Linux 终端、已安装的引擎、抓包文件和录制流量参考。
常见问题
会阻止真实上传吗？
不会。离线告警规则检查准备好的抓包。告警是需要调查的匹配，不是入侵或阻断的证明。
能检查 HTTPS 正文吗？
本课程使用合成的明文 HTTP，使字段可见。课程不教授 TLS 解密，也不声称能查看加密载荷。
如何评分？
真实引擎在干净的输出目录中运行提交的规则，检查包含正反案例的抓包。无需提交报告或复制的告警日志。
