Execution Context
该设计阶段旨在为企业网络边界内的入侵检测系统 (IDS) 建立基础架构。重点在于定义检测规则、传感器部署位置以及告警路由机制，以确保对横向移动和暴力破解行为的全面监控。通过直接与 IDS/IPS 的配置功能相关联，该模块确保后续的所有编码工作都与特定的威胁向量相对应，而不是基于通用的安全概念。
为针对关键基础设施资产的已知漏洞利用模式，定义专门的检测规则。
将地图传感器部署到高价值的网络区域，以实现最佳覆盖范围，同时避免误报。
建立告警聚合逻辑，将来自多个来源的事件关联起来，形成可执行的智能信息流。
Operating Checklist
分析历史网络日志，以识别重复出现的攻击模式，并据此制定相应的检测规则。
起草初步规则集，重点关注端口扫描、未经授权的访问尝试以及数据外泄迹象。
根据吞吐量需求和协议支持能力，选择合适的传感器硬件或软件代理。
为安全运营中心团队定义告警严重程度阈值和通知渠道。
Integration Surfaces
威胁情报源
集成最新的恶意软件特征库和漏洞数据库的实时更新，用于规则维护。
网络流量分析器
在关键的进出网络口部署数据包捕获代理，以监控协议异常。
SIEM 集成层
在安全信息和事件管理系统中配置关联规则，以实现统一日志管理。
