传统的入侵探测手段与日志文件分析技术，已经无法适应当今这么复杂的网络状况了。在经过更新的这本书里，本书作者会给信息安全人员提供新的技术与工具，告诉大家怎样收集网络流量，并对这些数据集进行分析。你会学到怎样掌握网络的使用情况，以及如何采取必要的措施来巩固并守护网络中的系统。
本书由三部分组成，其中会讲到数据收集与数据整理工作所依循的流程，并告诉你怎样使用各类分析工具和如何运用各种分析技巧来处理不同的情况。有一些新的章节会专门讨论主动监控、流量操纵、内部威胁检测、数据挖掘、回归分析，以及机器学习等主题。

迈克尔·柯林斯（Michael Collins），是位于华盛顿的网络安全与数据分析公司RedJack有限责任公司的首席科学家。他主要关注于网络设备和流量分析，特别是大规模流量数据集的分析。

前言
第I部分 数据
第1章 整理数据：视点、领域、行动及验证
1.1 领域
1.2 视点
1.3 行动：传感器对数据所做的处理
1.4 有效性与行动
1.5 延伸阅读
第2章 视点：了解传感器在网络中的摆放情况
2.1 网络分层的基础知识
2.2 在网络中的各个层面上进行寻址
2.3 延伸阅读
第3章 网络领域内的传感器
3.1 数据包与帧的格式
3.2 NetFlow
3.3 通过IDS收集数据
3.4 提高IDS的工作成效
3.5 中间盒日志及其影响
3.6 延伸阅读
第4章 服务领域中的数据
4.1 什么叫做服务领域中的数据？为什么要收集这些数据？
4.2 日志文件——最为基础的服务数据
4.3 获取并操纵日志文件
4.4 日志文件的内容
4.5 延伸阅读
第5章 服务领域内的传感器
5.1 典型的日志文件格式
5.2 简单邮件传输协议（SMTP）
5.3 其他一些较为有用的日志文件
5.4 传输日志文件的三种方式：文件传输、Syslog和消息队列
5.5 延伸阅读
第6章 主机领域中的数据与传感器
6.1 从网络的角度观察主机
6.2 与网络接口（网卡）有关的信息
6.3 可以用来追踪身份的主机信息
6.4 进程
6.5 文件系统
6.6 历史数据：用户执行过的命令以及与登录有关的信息
6.7 其他数据与传感器：HIPS及AV
6.8 延伸阅读
第7章 主动领域内的数据及传感器
7.1 发现、评估及维护
7.2 发现：ping、traceroute、netcat等工具的用法，以及nmap工具的其中一部分用法
7.3 评估：nmap、一些客户端和许多资源库
7.4 用主动收集到的数据来进行验证
7.5 延伸阅读
第Ⅱ部分 工具
第8章 把数据集中到一起
8.1 宏观结构
8.2 日志数据与CRUD范式
8.3 NoSQL系统简介
8.4 延伸阅读
第9章 SiLK工具包
9.1 什么是SiLK？它的工作原理是怎样的？
9.2 取得并安装SiLK
9.3 用rwcut命令操纵字段，并按照一定的格式将其输出
9.4 用rwfilter命令对字段进行基本的操纵
9.5 用rwfileinfo命令查询数据文件的出处
9.6 用rwcount命令把信息流合起来统计
9.7 rwset与IP set
9.8 rwuniq命令
9.9 rwbag命令
9.10 SiLK工具包的高级功能
9.11 收集SiLK数据
9.12 延伸阅读
第10章 参照与查询——用相关工具确定用户身份
10.1 MAC与硬件地址
10.2 IP地址
10.3 DNS
10.4 搜索引擎
10.5 延伸阅读
第Ⅲ部分 分析
第11章 探索性数据分析及其视觉呈现
11.1 EDA的目标：应用分析
11.2 EDA的工作流程
11.3 变量与可视化
11.4 适用单个变量的可视化技术
11.5 对双变量的数据集进行呈现
11.6 对多变量的数据集进行呈现
11.7 拟合与估算
11.8 延伸阅读
第12章 文本分析
12.1 文本的编码
12.2 基本技能
12.3 文本分析技术
12.4 延伸阅读
第13章 Fumbling
13.1 由于错误的配置、自动化的软件或扫描行为而引起的fumble现象
13.2 如何识别fumbling攻击
13.3 服务层面的fumbling
13.4 探测并分析Fumbling现象
第14章 流量与时间
14.1 办公时间方面的规律及其对网络流量的影响
14.2 beaconing
14.3 文件传输/raiding
14.4 集中度
14.5 对流量与集中度进行分析
14.6 延伸阅读
第15章 图
15.1 图的定义与特征
15.2 标记、权重与路径
15.3 节点与连接性
15.4 聚集系数
15.5 对图进行分析
15.6 延伸阅读
第16章 来自内部的威胁
16.1 把内部威胁与其他几种攻击区别开
16.2 避免互相伤害
16.3 攻击方式
16.4 收集并分析与内部威胁有关的数据
16.5 延伸阅读
第17章 威胁情报
17.1 什么是威胁情报？
17.2 创建威胁情报计划
17.3 对威胁情报的创建工作进行小结
17.4 延伸阅读
第18章 应用程序判定
18.1 可用来认定应用程序的各种手段
18.2 认定应用程序的banner并对其分类
18.3 延伸阅读
第19章 网络映射
19.1 创建初始的网络资源目录与网络映射图
19.2 更新网络资源目录，以便持续地进行审计
19.3 延伸阅读
第20章 与运维团队合作
20.1 运维工作概述
20.2 运维工作中的各种流程
20.3 延伸阅读
第21章 结论