SSL（安全套接层）现在很大程度上已被其继任者 TLS（传输层安全）所取代，是用于保护网络中传输数据的基本协议。 它提供加密、身份验证和数据完整性，确保敏感信息（如登录凭据、支付详细信息或 API 密钥）不会被拦截或篡改。 当客户端（例如，浏览器）连接到服务器时，SSL/TLS 会启动握手，以使用非对称加密建立加密通道。 连接安全后，所有交换的数据都使用对称密钥进行加密，这使得第三方无法读取。 例如，HTTPS（HTTP 的安全版本）依赖于 SSL/TLS 来保护 Web 流量，防止攻击者窥探用户活动或在传输过程中修改内容。
在威胁检测中，SSL/TLS 通过启用服务器身份验证和检测潜在的中间人 (MITM) 攻击来发挥作用。 在握手期间，服务器会出示由受信任的证书颁发机构 (CA) 颁发的数字证书。 客户端验证此证书以确认他们正在与预期的服务器通信，而不是冒名顶替者。 如果证书无效（例如，过期、自签名或为错误的域颁发），客户端会收到警告，表明存在潜在的安全风险。 证书透明度日志等工具通过公开记录所有颁发的证书来进一步增强检测，从而允许组织发现对其域未经授权的证书。 例如，如果攻击者欺诈性地获得了“example.com”的证书，透明度日志将公开这一点，从而实现快速补救。
除了加密之外，SSL/TLS 配置和监控还有助于威胁检测。 弱密码套件或过时的协议版本（例如，SSLv3）可能会引入漏洞，因此现代系统会执行严格的策略（如 TLS 1.2/1.3）并禁用不安全的选项。 安全团队分析 SSL/TLS 流量日志以识别异常情况，例如意外的加密失败或不寻常的证书颁发，这可能表明存在网络钓鱼或凭据盗窃等攻击。 OpenSSL 或网络监控解决方案（例如，Wireshark）等工具可帮助开发人员检查流量并验证配置。 例如，Heartbleed 漏洞（一个关键的 TLS 漏洞）通过修补库和吊销受损证书来缓解，突出了主动进行 SSL/TLS 管理在威胁检测和响应中的重要性。