实验 04：加固与边界防护（综合实践项目 M4）

本实验即综合实践项目（capstone） M4。给被 M3 攻破的应用套上纵深防御——防火墙 / WAF / IDS 规则 + 运行环境加固，并度量命中 / 误报。它落实 M2 暴露面清单里的处置建议。 「规则 vs 误报」的权衡是本里程碑的核心思维（攻防不对称 → 纵深 + 度量）。

1. 实验目标

• 能力交付（绑定簇④·L2 · 防御与加固）：
  1. 能够编写防火墙规则收敛暴露面。
  2. 能够编写 IDS 规则（Snort / Suricata）命中 M3 的攻击流量，并度量 FPR / FNR——防御有效性用数字说话（贯穿范式「可观测与可验证的安全」）。
  3. 能够用 WAF 拦截 SQLi / XSS 变种。
  4. 能够加固应用 / 运行环境（关 debug、隐藏指纹、最小暴露）。

完成本实验后，在 docs/m4/report.md 自评：点亮 簇④·L2。

2. 环境准备

• 本地：Git、Python 3.10+；Snort / Suricata；iptables / nftables；ModSecurity（或 OWASP CRS）可选。
• 起点：你的 milestone/m3 分支 tip（M3 末，已有 PoC 弹药）。按 Git 规范 从 milestone/m3 切 milestone/m4，MR 目标 = milestone/m3。
• 弹药：M3 的概念验证（PoC）流量就是你 IDS/WAF 规则要命中 / 度量的对象。
• 学术诚信：所有防御实验在自己靶场。

3. 任务清单

任务 A：防火墙规则（暴露面收敛）

用 iptables / nftables 收敛暴露面（仅放行必要端口，默认拒绝）；说明规则与 M2 暴露面清单的对应（落实处置建议）。

任务 B：IDS 规则 + 命中 / 误报度量

写 Snort / Suricata 规则命中 M3 的攻击流量（SQLi / XSS / 上传）；用 M3 PoC 重放 + 正常流量度量命中率与误报（TP/FP/precision/recall），给出数字。

任务 C：WAF 拦截 SQLi / XSS 变种

ModSecurity + OWASP CRS（或自写规则）拦截 M3 的攻击载荷（payload） 变种（不是只挡原 PoC）；记录绕过与反绕过的一轮博弈。

任务 D：应用 / 运行环境加固

关 debug=False、隐藏 Server/Werkzeug 指纹、最小权限运行、容器 / SSH 加固。

任务 E（为 M6 铺路 · 可选）

叠加一个 Isolation Forest 异常打分（对请求 / 日志），与规则版对比——为 M6 的「AI 检测组件」埋伏。

AI 助教适配注意事项

• 常见扣分：有规则无度量（深度仅贴规则）、debug 仍 True、指纹未隐藏、未对照 M2 处置建议。
• 授权红线：规则测试仅在自己靶场。
• AI 双向：可用国产 LLM 辅助生成 / 调优 WAF 规则或解释误报，注明范围 + 人工复核；禁止国外大模型。
• 自评矩阵：在 report.md 对照簇④·L2。

4. 交付与量规

在 docs/m4/ 下提交（在 milestone/m4 分支上完成、push、开 MR @ 助教，目标 = milestone/m3）：

docs/m4/
├── ids.rules / suricata.yaml   # 任务 B
├── waf/ 或 modsec/             # 任务 C
└── report.md                   # 规则集 + 加固 diff + 命中/误报度量（数字）+ 自评

评分量规（绑定簇④·L2，满分 100；详细维度释义见 评价指南）：

5. 能力自评

下一单元 U5（M5 日志取证蜜罐）会把这里的告警接入集中日志，并复盘一次针对己方应用的攻击。