从 CISO 的视角出发，以资产保护为主线，以 CISSP 所体现的安全管理与体系化思维为指导，依托开源安全软件，通过动手实验，逐步构建一套可观察、可检测、可分析的基础安全防御体系。
这套课程只有六次课，无法覆盖网络安全的全部领域，也不以深入掌握某一款安全工具为目标。我希望通过一个循序渐进的实战场景，将纷繁复杂的安全技术串联起来，让学生理解：企业为什么需要这些安全能力，它们分别解决什么问题，又如何协同工作。
课程从资产保护与攻击视角出发，逐步引入 Web 应用防护、网络入侵检测、主机安全监控、日志分析与安全事件关联，最终形成对基础安全运营体系的整体认识。
六次课结束后，学生不仅能够动手部署和验证若干开源安全工具，更重要的是，能够建立一张初步的网络安全知识地图：理解安全防御的基本层次，认识不同技术的边界与协作关系，并知道当未来遇到新的安全产品、技术或问题时，应该把它们放在整个安全体系的什么位置。
课程的目标不是让学生在六次课内成为安全专家，而是帮助他们建立正确的安全观念、初步的工程实践能力，以及继续深入学习网络安全所需要的整体框架。
| 课程 | 核心内容 |
|---|---|
| 01 | 认识安全风险： 部署 OWASP Juice Shop，观察缺乏安全防护的 Web 应用面临的攻击风险 |
| 02 | Web 应用防护： 部署 ModSecurity WAF，通过 SQL 注入实验，理解 Web 应用防火墙的检测与防护机制 |
| 03 | 网络入侵检测： 部署 Suricata NIDS，通过端口扫描实验，观察网络探测行为及其检测过程 |
| 04 | 主机安全监控： 部署 Wazuh Agent，通过文件篡改实验，理解文件完整性监控（FIM）与主机入侵检测 |
| 05 | 安全事件关联： 部署 Wazuh Manager，分析暴力破解相关日志，理解 SIEM 如何通过规则分析与事件关联识别安全威胁 |
| 06 | 安全运营可视化： 部署 Wazuh Dashboard 与 OpenSearch，串联日志采集、事件分析、告警与检索，形成端到端的串联与整合 |
| 目录 | 介绍 |
|---|---|
| lesson-01,02,03,04,05,06 | 实验脚本 |
| presentation | 课程讲义(PPT) |
| tutorials | 课程讲义(详细) |
如果这个项目对你有所帮助，欢迎请我喝杯啤酒！
本项目采用双许可证：
- 代码（docker-compose.yml、shell 脚本等）：MIT License
- 文档（README、教程、讲义等）：CC BY-SA 4.0