TCP 流完整性
TCP 状态机、序列号与重组违规 — 会话劫持与 IDS 规避的早期信号。
- TCP 时间戳异常 TCP 时间戳选项与会话上下文冲突的报文段。
- 过量重传 同一报文段的重传次数超过阈值。
- 窗口外 FIN/报文段 位于 TCP 接收窗口之外的 FIN 或报文段。
- 错误的序列号 握手或拆除阶段携带意外 seq 的数据包。
- 无效 ACK ACK 号与会话状态不一致的数据包。
- 握手规避 操纵三次握手的 seq/ack 以干扰 IDS 重组。
- SYN 重发异常 建立连接时反复出现 seq 不同的 SYN。
- 过多互异 SYN 连接尝试中出现大量互不相同的 SYN / SYN-ACK。
- 疑似 RST 注入 与会话流程不同步注入的 RST。
- 重组重叠 相同偏移处出现内容不同的重叠报文段。
数据包解码
数据包/首部解码完整性（校验和、选项、长度）。多为噪声，偶尔是伪造或指纹识别。
- TCP 校验和错误 校验和无效的 TCPv4 数据包。
- UDP 校验和错误 校验和无效的 UDPv4 数据包。
- TCP 选项长度异常 TCP 选项字段长度超出规范。
- 首部长度异常 TCP/IP 首部长度过小或违反规范。
协议异常
应用层协议偏离 — 端口伪装、隧道与隐蔽信道信号。
- 单向协议 应用协议仅在一个方向上被观测到。
- 协议不匹配 应用协议与端口/方向的预期不符。
- 首个数据方向相反 首个数据流向与预期相反。
- 意外协议 在该会话中不可能合法出现的协议。
- STARTTLS 降级 STARTTLS 协商之后未切换到 TLS。
HTTP 合规性
HTTP 协议违规 — 请求走私、WAF 绕过与 Host 首部攻击面。
TLS 异常
TLS 握手与记录异常 — 降级、扫描与漏洞利用（Heartbleed）面。
- TLS 记录异常 格式错误的 TLS 记录或流量。
- TLS 记录类型异常 出现不被允许的 TLS 记录类型。
- TLS 错误告警 握手过程中的 TLS 错误（alert）。
- 无效的 TLS 握手 握手消息的长度或结构违反规范。
- 疑似 Heartbleed 试图泄露内存的异常 heartbeat（CVE-2014-0160）。
DNS 异常
DNS 响应异常 — 缓存投毒、欺骗与反射信号。
- 未经请求的 DNS 响应 没有对应查询却收到的 DNS 响应。
邮件（SMTP）
SMTP 会话异常 — 垃圾邮件、中继滥用与邮件服务器探测。
- SMTP DATA 被拒绝 服务器拒绝了 DATA 命令。
- 缺少 SMTP 欢迎语 未收到服务器问候（220）会话就继续进行。
- 无效的 SMTP 应答 超出规范的 SMTP 应答。
Web 攻击模式
Web 应用攻击模式 — 将 nginx 可疑请求划分为侦察、注入与 RCE。
- 机密文件扫描 针对 .env、.git、配置与密钥文件的可疑请求。
- 路径遍历 通过 ../、各类编码与系统路径访问文件。
- SQL 注入 UNION、information_schema 以及布尔/时间盲注载荷。
- 跨站脚本 script 标签、事件处理器与读取 Cookie 的载荷。
- 远程代码执行探测 Shell、命令执行、反序列化与 JNDI 载荷。
- 管理页面攻击 反复访问 wp-login、phpMyAdmin 与管理控制台路径。
- 恶意机器人/扫描器 UA sqlmap、nikto、masscan 等攻击工具的 User-Agent。
- 其他可疑请求 不匹配上述模式的其余 is_suspicious 请求。
ML 异常
机器学习异常检测 — 无监督自编码器捕捉与已学习基线的偏离。
- Kitsune 自编码器异常 无监督集成自编码器根据与正常流量的重构误差标记异常 IP。
启发式扫描
基于规则的启发式 — 用明确规则拦截扫描器、暴力破解、机器人与速率异常。
- srct 启发式检测 命中侦察扫描器、后台暴力破解、机器人 UA、4xx 洪水、JA3 多样性与 TCP 短扫描等规则。
JA3 指纹
TLS 客户端指纹（JA3）分析 — 指纹轮换、僵尸网络与自动化检测。
- JA3 轮换/僵尸网络 单一来源在多个 TLS 连接间轮换大量 JA3 指纹。