资源介绍
视频数量：23个
总时长：4小时32分
课程介绍：
从漏洞攻击到威胁告警：一套完整的企业级安全监控方案
想象一下这样的场景：凌晨两点，公司的安全监控系统突然发出一连串告警，显示某台服务器正在被异常扫描。作为安全运维人员，你需要快速判断这是误报还是真实攻击，如果是真实攻击，还要追溯攻击路径、评估影响范围、找出攻击来源。在过去，完成这些工作可能需要在多个安全工具之间来回切换，收集各种日志，然后手动关联分析，往往一个简单的事件调查就要耗费数小时。
现在，有了一个叫Wazuh的平台，这一切都变得不一样了。
Wazuh是一款开源的扩展检测与响应平台，也就是大家常说的XDR。它能帮助企业和团队构建一套完整的安全监控体系，从日志收集、威胁检测到事件响应，全部可以在一个平台上完成。这套课程就是专门为零基础学员打造的Wazuh学习路径，从最基础的概念讲起，一步步带你搭建起自己的安全监控环境，最终掌握企业级的威胁检测能力。
课程首先会带你厘清几个容易混淆的概念。我们常听到的SIEM、EDR、XDR、MDR到底有什么区别？它们各自解决什么问题？为什么要选择XDR而不是传统的SIEM？这些问题都会在开篇部分得到详细解答。只有真正理解了这些概念背后的逻辑，才能在后续的学习中做到心中有数，而不是机械地跟着操作步骤走。
接下来就是动手实践的部分。课程会用整整一个章节来教你搭建实验环境。你会学到如何在虚拟机里安装Ubuntu Linux系统，如何在Ubuntu上部署Wazuh XDR平台，如何安装Windows Server并配置Active Directory和DNS服务。这些内容看起来基础，但却是整个安全监控体系的根基。没有稳定的底层环境，后续的所有功能都无从谈起。课程还会教你配置虚拟网络，让Windows主机和Wazuh服务器能够正常通信，确保日志数据能够顺畅地从客户端流向监控平台。
环境搭建好之后，真正的学习才刚开始。课程会手把手教你配置Windows系统，让它生成安全日志，并把日志源源不断地发送到Wazuh服务器上。这个过程涉及组策略的配置、审核策略的开启等细节操作，每一个步骤都有详细的演示和讲解。完成这部分学习后，你就拥有了一个可以持续收集安全数据的监控平台雏形。
但是光有日志收集还不够，我们还需要让系统变得更聪明，能够自动发现潜在的威胁。课程接下来的集成部分会教你如何把YARA、Sysmon这些强大的安全工具接入到Wazuh体系中。YARA可以帮你识别和分类恶意软件，Sysmon则能提供更深层次的系统活动监控，让攻击者的痕迹无处遁形。课程还会教你如何把Virus Total的威胁情报集成到Wazuh中，实现自动化的威胁情报关联分析。当一个告警触发时，系统会自动查询Virus Total，告诉你这个文件或IP是不是已知威胁，帮你快速判断事件的严重程度。
掌握了基本的检测能力之后，下一个目标就是定制化。课程会深入讲解Wazuh的解码器和规则系统。解码器负责把原始日志解析成结构化的数据，规则则负责根据这些数据判断是否存在安全威胁。课程会教你解码器的工作原理、父子解码器的层次模型、如何编写正则表达式来匹配日志格式、如何创建自定义规则来处理特殊场景。这些技能是你从“使用工具”升级到“掌控工具”的关键。当你能够根据自己企业的业务特点编写专属的检测规则时，这套系统才真正变成了你最得力的安全助手。
课程的另一个亮点是关于Wazuh MCP服务器的讲解。MCP是Model Context Protocol的缩写，简单来说，它让Wazuh能够与AI大模型进行交互。课程会教你如何安装和配置Wazuh MCP服务器，如何让AI帮你分析安全告警、解读威胁情报、生成响应建议。在安全事件频发的当下，这种人机协作的方式能大大提升安全运营的效率。
整个课程的设计充分考虑了零基础学员的接受能力。从虚拟机环境的准备，到Linux系统的安装操作，再到各种安全工具的配置集成，每一步都有清晰的演示。课程没有假设你具备任何网络安全或系统管理的基础，所有必要的概念和技能都会在讲解过程中自然引入。
学完这套课程后，你会拥有一套完整的实验环境，能够独立完成企业级安全监控平台的搭建和维护。你会掌握日志收集、威胁检测、事件分析、规则定制等核心技能，能够应对常见的安全监控需求。更重要的是，你会有一个坚实的基础，为后续更深入的安全学习铺平道路。
这套课程特别适合以下人群：对网络安全感兴趣的计算机专业学生，想转行做安全运维的在职IT人员，已经有一些安全基础但想系统学习Wazuh的技术人员，以及企业里负责安全建设的运维团队成员。无论你是想提升个人技能，还是想为团队建立安全监控能力，这套课程都能给你提供实实在在的帮助。