资源介绍
视频数量：9个
总时长：1小时13分
课程介绍：
检测工程入门：构建你的安全防护思维
凌晨两点，某科技公司的服务器突然收到大量异常登录请求。安全团队的值班人员看到监控大屏上闪烁的红点，却一时无法判断这是真实攻击还是测试流量。第二天早上，当他们终于确认这是一次有组织的凭证暴力攻击时，黑客已经利用这个窗口期完成了横向移动。
这个场景并不罕见。在无数真实的安全事件中，企业不缺数据，不缺工具，缺的是一套系统的方法来“看见”威胁。检测工程正是解决这个问题的专业领域。
如果你对安全行业感兴趣，或者已经在IT领域工作但想了解防御性安全的具体工作，这门课程会是一个很好的起点。它用大约一个小时的时间，帮你建立起对检测工程的基础认知。
课程从最基础的问题开始：什么是安全运营？很多人以为安全就是防火墙和杀毒软件，实际上那只是防御的一部分。一个完整的安全运营体系包含多个紧密配合的职能模块。威胁情报团队负责收集攻击指标，比如恶意文件的哈希值、钓鱼域名的URL、攻击者的IP地址，他们通常在专业的威胁情报平台上工作，把这些散落的信息拼凑成攻击者的画像。而安全运营中心则是24小时监控的守夜人，日志分析、告警响应、事件调查都在这里发生。还有漏洞管理和安全合规各自承担不同职责。
有趣的是，不同规模的企业，安全运营的实际样子差别很大。在小型企业里，往往没有独立的安全部门，系统管理员可能要兼职处理安全告警。他既要维护服务器正常运行，又要帮员工解决电脑问题，还得在收到钓鱼邮件举报时第一时间响应。这种“万金油”式的角色虽然不够专业，但确实是很多中小企业的真实状态。而规模更大的企业会有更明确的分工，安全专家、检测工程师、事件响应人员各司其职。课程通过几个具体的人物案例，展示了小、中、大三种不同规模企业的安全团队配置，让你理解为什么不同公司对同一个安全岗位的要求差异很大。
说回检测工程本身。很多人以为检测就是写规则、匹配特征，其实这只是很小的一部分。课程把检测工程的工作流程拆解得很清晰：从情报收集和数据源梳理开始，到确定要检测什么威胁，再到设计检测逻辑、写规则、测试优化，最后部署上线并持续维护。这是一个完整的闭环，每个环节都有讲究。
那什么样的检测算好的检测？课程给出了几个关键标准。首先是准确性，误报率太高的规则会让分析师疲于奔命。其次是可操作性，检测出来的内容必须能被有效响应，否则只是制造噪音。还有时效性，能在攻击早期就发现它，比事后补救有价值得多。这些标准看起来简单，但在实际工作中如何权衡、如何取舍，正是检测工程师需要不断积累的经验。
技术栈部分介绍了主流的检测工具和平台。日志采集用什么方案，SIEM系统怎么选型，检测规则用哪种语言编写，每个环节都有多种技术路线。课程不会教你具体操作某个产品，但会让你了解目前行业的主流选择和各自的优缺点。这对后续选择学习方向很有帮助——比如你对Splunk感兴趣，就可以沿着这个线索深入研究。
最后两个视频重点讲MITRE Att&ck框架。这个框架可以说是当代网络安全的“通用语言”。它把已知的所有攻击技术整理成一个庞大的矩阵，每个技术都有编号、描述、检测方法。安全团队用它来描述攻击者的行为，规划防御覆盖范围，甚至用它来评估组织的安全成熟度。课程不仅介绍这个框架是什么，还教你具体怎么用它——怎么查找某个攻击技术的检测方法，怎么评估自己的规则是否真正覆盖了关键威胁。
学完这门课程，你会对安全运营的全貌有清晰认知，理解检测工程师在整个体系中扮演什么角色，知道检测工作从哪里开始、沿着什么路径推进。课程本身只有一个多小时，但它是后续深入学习的路线图。如果你想继续学习检测规则的编写、实验室环境的搭建或者更高级的威胁狩猎技术，这个基础会让你事半功倍。