NetFlow 流量基线分析实战：异常流量溯源
NetFlow/sFlow 流量基线分析教程：用 softflowd 与 nfcapd 采集采样流记录，按同一时段历史中位数建立基线，定位带宽突增与异常外联，并联动 nftables/ipset 自动封禁，附采集器配置与交换机导出示例。
日志分析
被DDoS攻击能报案吗？证据固定与处置流程
被 DDoS 攻击后能不能报警、怎么留证据才有用？本文用 10 个问答讲清必须保留的六类证据、tcpdump 抓包与哈希固定方法、向机房和安全厂商申诉要哪些字段、日志要留存多久，以及止血与留证的先后顺序。
服务器日志脱敏实战：敏感信息防泄露配置
访问日志与业务日志中的手机号、身份证、Token 明文落盘会带来合规风险。本文给出 Nginx log_format 白名单字段、map 参数占位、vector 与 Filebeat 全局正则替换、Logback/Log4j2 框架过滤、logrotate 权限收紧与 Python 脱敏巡检脚本的
journald 日志持久化与防篡改实战配置
systemd-journald 默认把日志放在内存中，重启即丢，攻击者一条 rm 即可抹掉痕迹。本文给出 Storage=persistent 落盘、Seal 前向安全密封与校验密钥离线保管、目录权限加固、远端转发，以及 journalctl –verify 篡改检测告警脚本的完整配置。
日志审计实战：Promtail 与 Loki 部署配置
日志审计需要集中留存与快速检索。本文用 docker compose 部署 Promtail + Loki + Grafana，给出三份完整配置文件、标签基数设计约束、攻击特征 LogQL 检索语句（SQL 注入/扫描器/SSH 爆破）、ruler 自动告警规则、30 天保留策略与端到端自测验证方
Nginx 日志攻击溯源实战：Access Log 分析
Nginx 访问日志分析是攻击溯源第一手证据。本文给出可复用流程：自定义 forensic log_format 补齐耗时与 XFF、TOP IP 与 404 统计、SQLi/路径遍历/扫描器特征识别、单 IP 时间线还原、ipset 与 map 封禁落地、Fail2ban 对接及自动化日报脚本与验证方法。
入侵检测脚本实战：Linux 异常登录与可疑进程自动监控
一套可直接部署的 Linux 入侵检测脚本：监控 SSH 爆破、UID 0 异常账户、临时目录后门与计划任务变更，配合 cron 定时执行与企业微信告警，低成本建立服务器第一道防线。
Sysmon 安全监控实战：Windows 进程活动与事件日志审计
Sysmon 是微软 Sysinternals 出品的内核级日志监控工具，可记录进程创建、网络连接、文件写入等关键行为。本文讲解安装、配置规则、事件日志查询与应急响应实战，帮助 Windows 服务器建立可审计的行为追踪能力。
rsyslog 集中日志审计实战：服务器日志统一收集配置
rsyslog 集中日志审计教程：服务端与客户端完整配置、模板与转发规则、TLS 加密传输、日志轮转保留策略，一次性收拢多台服务器 syslog、Nginx 与防火墙日志，为安全审计与攻击溯源提供统一数据源。
auditd 审计实战：Linux 系统审计与溯源配置
本教程讲解 Linux 内核审计框架 auditd 的规则配置、日志检索与防篡改设置，实现关键文件监控、特权命令溯源与登录审计，为合规审计和入侵取证提供完整证据链。
ELK Stack日志分析入门：搭建安全事件监控平台
从零搭建ELK Stack安全日志分析平台，涵盖Elasticsearch、Logstash、Kibana和Filebeat的安装配置，实现Nginx访问日志和系统认证日志的集中采集、攻击行为标记与可视化监控。
Nginx日志攻击溯源实战：从access.log发现入侵痕迹
从Nginx access.log中还原攻击链：包含增强日志格式配置、SQL注入/路径遍历/爆破检测命令库、一键溯源脚本，助你分钟级定位入侵源。