SOC 基础知识回顾
这是一个纯挑战式的课程，旨在回顾核心的 SOC 工作流，并将数据包分析、主机审计以及基于 Snort 的检测技术融会贯通。你将不再跟随引导式的实验步骤，而是需要在真实的各种安全场景中调查可疑活动、验证证据，并得出经得起推敲的结论。
为什么这很重要
早期的网络安全培训往往是逐个教授工具的使用，但真实的 SOC 工作并非如此。分析师必须将网络流量、主机痕迹和检测逻辑关联起来，以判断一个事件究竟是良性的干扰还是真正的安全事故。本课程旨在测试你从「孤立地使用工具」到「端到端调查」的转变能力。
由于这是一个项目制课程，重点在于应用你已经掌握的技能。你将处理真实的挑战场景，在没有分步指导的情况下，解读证据、做出合理的调查决策并完成整个工作流。
你将学到什么
- 从数据包捕获到分析结论，调查可疑的网络活动。
- 使用审计日志、身份验证记录和文件完整性信号，审查主机层面的证据。
- 为常见的 SOC 监控工作流创建并验证实用的 Snort 检测规则。
- 关联多个来源的证据，而不是仅仅依赖单一工具或日志。
- 建立独立解决安全调查问题的信心。
课程路线图
- 从数据包到警报的调查：捕获可疑流量，重构恶意会话，提取指标，并上报已确认的安全事件。
- 主机篡改审计：审查审计追踪，解析相关日志，确认文件完整性变更，并识别非法账户。
- Snort 规则部署演练：分析敌对流量，创建针对性的 Snort 规则，验证警报生成，并总结防御性发现。
适合人群
- 已完成早期 SOC 相关课程，并希望进行实战化回顾项目的学习者。
- 希望检验自己能否在没有实验指导的情况下独立调查安全事件的初学者。
- 正在为更高级的防御性分析、威胁狩猎和事件响应工作做准备的安全领域学习者。
学习成果
在本课程结束时，你将能够从原始证据出发，独立完成小型的 SOC 调查并得出最终结论。你将掌握如何有目的地捕获和过滤流量、确认可疑的主机活动、部署针对性的检测规则，并将这些发现串联成清晰的事件报告。
