可观测、威胁建模与漏洞响应：WAF、IDS、日志告警、IR 流程与红蓝对抗

0. 元信息

• 主题路径：docs/topics/web-security/subtopics/web-security-detection-and-response/
• 父主题：web-security
• 主分类：安全与可靠性
• 辅助分类：项目与职业能力
• 适合对象：SRE、安全工程师、技术 Lead
• 建议周期：1.5～2 周（每周 6～8 小时）
• 前置知识：web-security 其它子主题；理解 HTTP、日志、CI/CD
• 最终目标：能为应用部署 WAF + IDS + SIEM 日志告警；写一份 IR playbook（按 OWASP IRT 模板）；订阅 CVE feed 做主动跟踪；能用 STRIDE 做威胁建模；理解漏洞奖励计划设计

1. 学习路线

A09 Logging & Monitoring：日志规范、结构化、告警通路
  → WAF：ModSecurity / Cloudflare / AWS WAF
  → IDS / IPS：Suricata、Snort
  → SIEM：Elastic / Splunk / Loki
  → IR Playbook：OWASP IRT 模板
  → CVE 跟踪：NVD / GHSA / OSV / CISA KEV
  → 威胁建模：STRIDE、攻击面分析、PASTA、VAST
  → 红蓝对抗与漏洞奖励计划（Bug Bounty）
  → 复盘文化：漏洞复盘、IR 复盘

2. 阶段周数分配

建议周期 8 周，每周 6 天、每天 1.5～2 小时（每周约 9～12 小时），第 7 天用于复盘和补测：第 1 周基础模型与威胁边界；第 2～3 周核心机制；第 4～5 周防御实现；第 6 周检测、测试与审计；第 7 周综合演练；第 8 周项目收尾、复盘与最终验收。

3. 九阶段表

关键陷阱：日志脱敏后会失去关键字段；WAF 不是防护终点；IR 没有 playbook 等于没 IR；威胁建模不能一次做完就再不动。

4. 第一周：基础与威胁建模（每天 1.5～2 小时）

5. 阶段通用验收

• 阶段 1 验收：完成概念地图；提交威胁模型；能用 10 分钟解释核心资产、信任边界和主要攻击面。
• 阶段 2 验收：完成核心机制最小实现；提交 3 组正向与负向测试；测试输出包含成功和拒绝结果。
• 阶段 3 验收：完成防御实现；提交配置/代码审计清单；所有高风险输入均经过验证、编码或安全 API。
• 阶段 4 验收：完成检测或安全测试规则；提交日志/扫描/测试输出；能从证据定位触发点和影响范围。
• 阶段 5 验收：完成一次事件或攻击链演练；提交时间线、处置动作和恢复验证；复现者按 README 可独立运行。
• 阶段 6 验收：完成综合项目核心功能；边界测试全通过；README、notes/design.md、notes/test.md、notes/retrospective.md 均存在且非空。
• 阶段 7～8 验收：修复复盘发现的问题；重新执行全部命令；最终报告记录版本、命令和结果。

6. 最终验收

学完后应能完成威胁建模、选择合适的安全机制、实现最小防御链路、编写负面测试、读取日志或扫描证据，并向团队解释安全权衡和残余风险。

量化标准：

• 完成至少 24 道相关练习，其中 12 道基础、8 道中等、4 道综合/高难；每题保留测试或答案证据。
• 独立写出至少 4 个可运行 demo，每个包含成功路径和至少 3 个拒绝/异常测试。
• 完成 1 次 60 分钟攻击—防御演练，能在 15 分钟内讲清威胁模型、核心流程和修复理由。
• 综合项目的自动化检查通过率 100%，高危问题数 0，README 可让他人在 10 分钟内复现。

7. 综合项目

首选项目：安全 Web 服务实验室（本主题对应的 “）。实现一个最小 HTTP/API 服务，故意保留一条可控弱点，再用安全实现和自动化测试修复它。

备选项目：安全审计 CLI。读取请求、配置或依赖清单，输出风险、证据、严重性和修复建议。

必做要求：

• 输入：明确的 JSON/HTTP 请求、配置文件或依赖清单；拒绝缺失字段、超长值、非法编码和越权对象。
• 输出：机器可读 JSON 报告或 API 响应，并包含状态、错误码、证据、修复建议；日志不得泄露密码、令牌或密钥。
• 算法/工具：按 §3 选择标准库安全 API、参数化查询、策略匹配、哈希/签名、规则扫描或事件时间线；在 README 说明选择理由与复杂度/局限。
• 验收标准：成功路径通过；至少 10 个边界/负面测试通过；高风险输入被拒绝；运行静态检查或扫描无新增高危；输出可复现。

项目根目录必须包含 README.md、notes/design.md、notes/test.md、notes/retrospective.md。README 需写需求说明、数据结构/工具选择理由、核心流程、模块化实现、边界测试、编译/运行说明、目录结构和复盘记录；notes/design.md 写威胁模型与流程图，notes/test.md 写每组输入/期望/实际输出，notes/retrospective.md 写用时、难点、收获和下一步。

本主题贡献

• 职责 1（WAF + IDS + SIEM 三道防线）：边界 WAF 部署 ModSecurity + OWASP CRS 4.x，从 PL1（监听）→ PL2/PL3（阻断） 分阶段上线，业务方白名单要走审批（§3 阶段 3、§9.4 #9、§10 误区）；内网 IDS 用 Suricata 跑 HTTP 异常规则；SIEM（Elastic / Loki）汇聚 WAF + IDS + 应用日志，按 trace_id 串联。
• 职责 2（IR Playbook + STRIDE 威胁建模）：写一份针对 SSRF / RCE / 数据泄露 三类事件的 IR Playbook（6 阶段：准备 → 检测 → 遏制 → 根除 → 恢复 → 复盘，§3 阶段 6、§9.6.3）；新功能 / 重大变更上线前必跑一次 STRIDE + 数据流图，落进 notes/design.md（§3 阶段 8、§9.4 #10 误区）。
• 职责 3（CVE 跟踪 + 红蓝 / Bug Bounty）：订阅 NVD + GHSA + OSV + CISA KEV 四路 feed，写入 OSV-Scanner 命中 SBOM；高危 CVE 24h 内响应（建 Issue / 自动 PR / 升级）；CVE 评级 = CVSS + KEV + 业务影响三因素（§3 阶段 7、§9.4 #8）；漏洞奖励计划 scope / 奖励级别 / 首次响应 SLA 全部文档化。
• 交付物 1：infra/waf/ 提供 ModSecurity + CRS 4.x 的 crs-setup.conf + 自定义白名单模板 + PL1/PL2 切换脚本；infra/ids/suricata.rules 至少 10 条覆盖 SQLi / XSS / SSRF / 反向 shell。
• 交付物 2：docs/ir-playbook.md 至少 3 份剧本（SSRF / RCE / 数据泄露），每份含“触发信号 → 遏制 → 根因 → 恢复 → 复盘”五段；docs/threat-model-template.md 是 STRIDE 表格模板，新功能 PR 模板强制引用。
• 交付物 3：scripts/cve-watch.ts 每天拉 NVD / OSV / GHSA / CISA KEV，与仓库 SBOM 比对，命中 KEV 即建 Issue + 自动派单；写入 CI cron。
• 交付物 4：notes/redteam-2026.md 记录一次桌面演练 + 一次真实红蓝的时间线、处置动作、改进项（含 owner 与截止日期）。
• 指标 1：CISA KEV 中命中本仓库组件的 CVE，24h 内建 Issue 率 ≥95%；OWASP CRS PL1→PL2 切换后 WAF 误报率 <5%（周统计）。
• 指标 2：每个新功能 PR 必须附 STRIDE 表，缺失即 CI 失败；现存 ≥80% 的核心功能在 docs/threat-models/ 下有对应模型。
• 指标 3：IR Playbook 在桌面演练中端到端跑通，从“告警触发”到“恢复验证”≤30 分钟（呼应 §9.6.3）；复盘报告 100% 含“根因 + 行动项 + owner + 截止日期”四要素。

8. 推荐开源资料

许可证提示：使用 OWASP、ZAP 或其他开源资料与源码前，先打开仓库或页面的 LICENSE/版权说明；默认只引用链接和思路，复制代码时保留版权与许可证文本。

默认使用顺序：先读 §1 与 OWASP 入门资料建立模型 → 用 MDN/规范查 API 和约束 → 在本地项目实现 → 用 ZAP 或对应扫描工具验证 → 到 PortSwigger 做练习 → 将证据和复盘写入 notes/。

9. 学习资料汇聚（v0.3 自包含）

9.1 背景与动机

OWASP Top 10 2021 把”A09 Security Logging and Monitoring Failures”、“A10 Server-Side Request Forgery”与”A04 Insecure Design”放在前列。A09 与 A04 关心”能不能发现问题”，A10 是新晋类别，针对 SSRF 这类服务代发请求的攻击。

历史上踩过的坑：

• 2013 Target 数据泄露：FireEye 告警被忽略，40M 信用卡 + 70M PII 泄露；
• 2014 Sony Pictures：内部告警未及时响应，多月后才被发现；
• 2017 Equifax：Apache Struts 漏洞发现后未及时修复，1.4 亿用户受影响；
• 2019 Capital One：SSRF + IAM 角色越权，1 亿 PII 泄露；
• 2021 Log4Shell：许多组织扫描器缺失，漏洞利用了一周才发现；
• 2023 MOVEit Transfer SQL 注入：Cl0p 利用漏洞大规模数据窃取。

这些事件把”日志告警、威胁建模、漏洞响应”从可选项变成必需品。

9.2 概念地图

flowchart LR
  Detect[检测与响应] --> Log[日志]
  Detect --> WAF
  Detect --> IDS
  Detect --> SIEM
  Detect --> IR[IR Playbook]
  Detect --> CVE[CVE 跟踪]
  Detect --> TM[威胁建模]
  Detect --> RedTeam[红蓝对抗]
  Log --> SLog[结构化日志]
  Log --> Mask[脱敏]
  Log --> Trace[trace id]
  Log --> Alert[告警]
  WAF --> ModSecurity[ModSecurity OWASP CRS]
  WAF --> Cloudflare[Cloudflare]
  WAF --> AWS[AWS WAF]
  IDS --> Suricata
  IDS --> Snort
  IDS --> Zeek
  SIEM --> Elastic[Elastic / OpenSearch]
  SIEM --> Splunk
  SIEM --> Loki
  IR --> OWASP[OWASP IRT 模板]
  IR --> NIST[NIST SP 800-61]
  IR --> Playbook[Playbook]
  CVE --> NVD
  CVE --> GHSA
  CVE --> OSV
  CVE --> KEV[CISA KEV]
  TM --> STRIDE
  TM --> PASTA
  TM --> AttackSurface[攻击面分析]
  TM --> Diagram[DFD 数据流图]
  RedTeam --> Pentest[渗透测试]
  RedTeam --> BugBounty[漏洞奖励]
  RedTeam --> Scope[scope 与规则]
  RedTeam --> HallOfFame[致谢墙]

关系说明：日志是地基；WAF 与 IDS 是外部防线；SIEM 汇聚分析；IR 与 CVE 跟踪是闭环；威胁建模在设计阶段；红蓝对抗持续验证。

9.3 基础知识讲解

9.3.1 经典论文 / 标准

主推：NIST SP 800-61 + OWASP A09/A10 + MITRE ATT&CK。备查：OWASP IRT、Threat Modeling Cheat Sheet、NIST SP 800-115。

9.3.2 经典书籍

主推：Shostack《Threat Modeling》。备查：Bejtlich《NSM》、Amster《Crafting the InfoSec Playbook》。

9.3.3 优秀博客 / 文档

主推：MITRE ATT&CK + Cloudflare Blog + Google Project Zero。备查：SANS ISC、AWS Security、HackerOne Hacktivity、ModSecurity CRS。

9.3.4 核心人物

主推：Adam Shostack、Richard Bejtlich。备查：Katie Moussouris、Window Snyder。

9.3.5 开发方法

9.4 经典问题与经典案例

9.5 学习难点

概念难点

思维难点

工程难点

9.6 技术标准与接口

9.6.1 Entity

9.6.2 Scope

• OWASP Top 10：风险分类；
• MITRE ATT&CK：攻击者战术、技术与程序（TTP）；
• NIST SP 800-61：IR 流程（准备 → 检测 → 遏制 → 根除 → 恢复 → 复盘）；
• OWASP CRS：WAF 通用规则集；非默认阻断；
• CVSS：漏洞评分；不含利用情报；
• CISA KEV：已知被利用漏洞；优先级更高；
• STIX / TAXII：威胁情报共享格式与协议。

9.6.3 Structure

必会字段、接口、API：

• 日志字段：timestamp、level、event、user_id、request_id、trace_id、span_id、source_ip、user_agent、outcome；
• 告警字段：分级（P0/P1/P2/P3）、告警源、事件 ID、影响范围、响应人、SLA；
• WAF 规则：ModSecurity SecRule + OWASP CRS；
• IDS 规则：Suricata rules（alert http ...）；
• CVSS 向量：AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H；
• CVE 字段：id、description、cvss、affected、published、references；
• IR 6 阶段：准备 / 检测 / 遏制 / 根除 / 恢复 / 复盘。

9.6.4 Ecosystem

• WAF：ModSecurity、Cloudflare、AWS WAF、Azure WAF、Akamai、Imperva；
• IDS / IPS：Suricata、Snort、Zeek、Corelight；
• SIEM：Elastic / OpenSearch、Splunk、Grafana Loki、Sumo Logic、Datadog Security、Chronicle；
• 漏洞平台：HackerOne、Bugcrowd、Intigriti、YesWeHack；
• 威胁情报：MITRE ATT&CK、MISP、Recorded Future、AlienVault OTX；
• 漏洞奖励设计：scope（白名单 / 黑名单）、奖励级别（P0~P3）、SLA（首次响应 / 验证 / 修复）；
• 事实标准 vs 标准本身：ModSecurity CRS 默认等级、Cloudflare 默认规则集；不是 RFC 但部署要知道。

9.6.5 Depth Tiers

本计划目标：L3。

9.6.6 Source

• OWASP 仓库：https://github.com/OWASP/
• MITRE ATT&CK：https://attack.mitre.org/
• NIST SP 800-61：https://csrc.nist.gov/publications/detail/sp/800-61/rev-2/final
• CISA KEV：https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• FIRST CVSS：https://www.first.org/cvss/
• OWASP ModSecurity CRS：https://owasp.org/www-project-modsecurity-core-rule-set/
• 引用版本快照日期：2026-07-30。

10. 常见误区

• 日志只记 info / error，没 trace id；
• 告警全部分到 Slack，无分级；
• WAF 默认阻断 OWASP CRS PL3 全部规则；
• IDS 启用但无规则；
• SIEM 数据保留 7 天（不够 IR）；
• IR 流程只写在 wiki，没人演练；
• CVE 跟踪靠人肉看新闻；
• 不订阅 CISA KEV；
• 威胁建模一次做完，3 年不更新；
• 把 STRIDE 当 checklist 一次性填完；
• 漏洞奖励 scope 过宽，连生产数据库都给；
• 没有漏洞奖励 SLA，外部研究员提交后无回应；
• 演练只走桌面，不走真实环境；
• 复盘只写”教训”，不写”行动项 + 截止日期”；
• 告警一旦触发就关掉，不看根因；
• “我们已经买 WAF 了”等同安全；
• IR 流程中”修复”没有验证步骤；
• 漏洞复盘写成事故报告，缺乏根因分析；
• 不跟踪”已知被利用”与”已知有 PoC”；
• 攻击面图过期，资产清单不准。

11. 所有知识点分类（统一规则）

1. 编程语言
2. 数据结构与算法
3. 计算机基础
4. 工程技术
5. Web 与后端
6. 前端与客户端
7. 数据与人工智能
8. 项目与职业能力
9. 安全与可靠性

本计划归属：安全与可靠性 主 + 项目与职业能力 辅。