01
EDR概述
什么是EDR · 与防病毒软件的区别 · 核心能力与价值
基础概念
02
EDR数据源
终端进程 · 网络连接 · 文件系统 · 注册表 · 内存数据
数据源终端
03
数据采集架构
Agent架构 · 采集策略 · 压缩传输 · 存储方案
架构采集
04
进程数据提取
进程创建/终止 · 进程树 · 命令行参数 · 哈希计算
进程提取
05
网络连接数据提取
TCP/UDP · DNS查询 · HTTP日志 · 流量元数据
网络日志
06
文件系统数据提取
创建/修改/删除 · 路径扩展名 · 文件哈希 · 权限变更
文件监控
07
注册表数据提取
键值变更监控 · 恶意软件持久化 · 审计策略
注册表安全
08
内存数据提取
内存转储 · Volatility · 内核结构 · 进程内存扫描
内存取证
09
日志收集与标准化
Syslog · Windows事件日志 · JSON/CEF · 时间戳统一
日志标准化
10
数据预处理
去重 · 缺失值 · 异常值检测 · 数据脱敏
预处理清洗
11
时间序列分析基础
时间戳对齐 · 频率统计 · 窗口聚合 · 趋势分析
时间序列分析
12
关联分析基础
事件关联规则 · 时间序列关联 · 属性关联 · 攻击链重建
关联攻击链
13
威胁情报集成
STIX/TAXII · IOC提取匹配 · 上下文丰富化
威胁情报IOC
14
可视化基础
时间线图 · 网络拓扑 · 进程树 · 热力图
可视化图表
15
异常检测基础
基线建立 · 统计异常检测 · 阈值设定 · 告警生成
异常检测告警
16
案例分析
勒索软件 · 横向移动 · 数据外泄 · 权限提升
案例实战
17
EDR工具实践
Sysmon · Osquery · Wazuh · ELK Stack
工具部署
18
数据提取API
REST API · EDR调用示例 · 分页限流 · 批量导出
API开发
19
性能优化
数据采样 · 索引优化 · 查询优化 · 存储压缩
性能优化
20
数据安全与隐私
数据加密 · 访问控制 · 审计日志 · GDPR合规
安全隐私
21
自动化分析
Python脚本 · 定时任务 · 告警规则引擎 · SOAR
自动化编排
22
机器学习基础
特征工程 · 随机森林 · K-Means · 模型评估
ML分类
23
深度学习应用
LSTM预测 · 自编码器异常检测 · 图神经网络
深度学习时序
24
实时分析
Kafka/Spark Streaming · 实时告警 · 窗口计算 · 状态管理
实时流处理
25
数据存储选型
PostgreSQL · InfluxDB · Elasticsearch · Neo4j
存储数据库
26
数据治理
生命周期 · 质量监控 · 元数据管理 · 数据血缘
治理管理
27
报告生成
自动化模板 · PDF/HTML导出 · 图表嵌入 · 关键指标
报告导出
28
团队协作
共享数据模型 · 协作平台 · 知识库 · 事件响应
协作流程
29
前沿趋势
云原生EDR · eBPF · 零信任 · AI驱动检测
前沿趋势
30
综合实战
全流程演练 · 问题排查 · 最佳实践总结
实战总结