网络安全与防御工程

复习 TCP/IP、DNS、HTTP/TLS、Linux 权限与进程；能解释一次浏览器请求经过的信任边界。

列出资产、身份、入口、依赖与失败影响，用数据流图标记信任边界。

从合成日志识别异常，练习分级、遏制、证据保全、恢复与复盘。

把配置检查、日志字段、备份恢复和变更审阅写进可重复执行的清单。

资产回答保护什么，威胁回答可能发生什么，控制回答如何降低可能性或影响；三者必须能相互追溯。

身份只得到完成任务所需的最小权限，并设置期限、审批和审计；未知流量与未知主体不自动获得信任。

预防、检测、响应、恢复相互补位。备份只有在隔离保存且真实演练恢复后才是控制。

Wireshark / TShark 用于查看自有接口或示例抓包；优先使用显示过滤器缩小协议、会话和错误码。

tcp.analysis.flags || dns.flags.rcode != 0

使用系统日志、Sysmon 或 auditd 观察进程、登录、服务和策略变化；记录时间源与字段含义。

OWASP Juice Shop / WebGoat 仅绑定 localhost 或 host-only 网络，关闭端口映射与无关共享目录，用快照恢复。

在自有主机列出监听端口、进程、绑定地址和预期用途，逐项确认是否需要。

ss -lntup

统一记录时间、来源、观察事实、假设、采取动作、证据位置和下一位负责人。

时间：
来源：
观察事实：
当前假设：
已采取动作：
证据位置：
下一步/负责人：

为每项控制写出预期结果与失败信号；使用合成事件验证告警、分诊和恢复流程，不在生产制造危险流量。

确认选对接口与命名空间、捕获权限、过滤器和流量路径；虚拟交换、VPN 与容器会改变观察点。

保留原始时区与时间戳，核对 NTP 状态和采集延迟；展示时再统一到同一时区。

先按资产重要性和行为上下文分层，再调整阈值；保存变更前后样本，避免一键关闭规则。

写清系统、账号、时间窗、允许动作、速率上限、数据处理方式、停止条件与紧急联系人。

不访问真实第三方目标，不收集凭据，不绕过检测，不维持持久化；发现范围外数据立即停止并报告。

删除临时账号和测试数据，撤销证书与令牌，保留最少必要证据，并按约定渠道披露。

提交数据流图、资产清单、信任边界与暴露服务理由；不包含真实公网地址或秘密。

为一台可销毁虚拟机编写账户、更新、服务、日志、备份清单，并记录验证证据。

依据示例日志形成时间线、影响判断、遏制建议和误判可能性。

模拟服务异常到恢复全过程，记录决策点、沟通对象、恢复指标和改进项。