终端安全监控与分析 ：从⼊⻔到精通实战指南

这门课讲的是终端安全监控与分析，落到具体工作上，主要是两件事：一是搞清楚一台 Windows 机器上"正常"长什么样，二是当它变得不正常时，知道从哪里下手查。它的定位偏运维和安全运营的交叉地带，不是渗透测试，也不教你怎么写攻击工具，而是站在防守方视角做检测和排查。

如果你日常工作中遇到下面这类场景，这门课的内容会对得上：服务器或办公终端 CPU 莫名飙高、出现陌生进程和外连、安全设备告警但说不清是不是误报、需要判断某台机器是否已经被人动过手脚。这些问题的共同点是——没有标准答案，靠的是对系统正常行为的熟悉程度和一套可复用的排查思路。课程试图提供的正是这套思路，而不是一堆孤立的工具用法。

它解决的是"看得懂"的问题

终端安全最难的从来不是工具不够，而是看不懂眼前的输出。任务管理器里几十个进程，哪些是系统自带的，哪些是伪装成系统进程的，光看名字分不出来。课程在前半部分花了不小篇幅讲 Windows 核心进程，把进程的重要性单独拎出来讲，再逐层展开。这部分看似基础，实际是后面所有分析的底座——不熟悉正常的进程树、服务宿主关系、常见的父子进程关系，后面任何工具给出的结果都无法判断。

它没有把"进程分析"当成一个可以跳过的章节，这一点对转行者比较友好。很多同类内容默认你已经知道 svchost 是什么、为什么一个进程会有多个实例，直接开始讲检测，结果就是看的时候点头、用的时候卡壳。

工具部分偏重"用得上"

课程涉及的工具集中在系统自带和常见分析工具这个范围，包括事件查看器这类很多人装了系统却几乎没打开过的组件，也包括进程分析和安全分析工具的使用。这里的取舍是有意的：与其罗列一堆需要额外授权、部署成本高的平台，不如先把每台机器上本来就有的东西用透。

事件日志是终端排查里信息密度最高、也最容易被忽略的一块。课程把 Event Viewer 单独拿出来讲，说明它是把它当分析入口在教，而不是当功能说明在念。学过之后你至少能独立完成一件事：拿到一台可疑机器，知道该看哪些日志、哪些事件 ID 值得留意、怎么把零散记录串成一个时间线。

学完能独立做什么

按课程的组织方式，完整跟下来应该能做到：对一台 Windows 终端做基本的安全状态检查；识别可疑进程和异常外连；通过日志还原一次事件的大致经过；把发现的问题整理成可交接的排查记录。最后一部分讲运维与故障排查，把安全分析和日常运维接了起来——很多所谓的安全事件，第一现场其实是运维发现的。

需要说明的是，这门课不涉及大规模终端管控平台的建设，也不深入讲威胁情报和规则编写。如果你的目标是在企业里搭一套 EDR 体系，这门课只能算打底。

适合什么基础的人

• 有基本 Windows 使用和服务器运维经验，但没系统做过安全排查的人，收获会比较直接。
• 想从桌面运维、系统运维转向安全运营方向的，可以作为过渡材料，成本不高。
• 完全没接触过命令行和系统管理的新手，建议先补 Windows 基础操作，否则进程和日志部分会跟不上。
• 已经做过一段时间应急响应、熟悉常见排查套路的，内容可能偏浅，重点可以放在查漏补缺上。

资料包里以视频讲解为主，配合必要的图示说明，节奏偏紧凑，单节时长不长，适合按主题拆开看，不必一次追完。建议的用法是：进程和日志两部分边看边在自己机器上对照操作，工具部分只挑当前工作用得到的先学，剩下的等遇到具体问题时再回头翻。