用途：部署、配置和运维 CrowdSec 安全引擎，包括 cscli、修复组件（bouncer）、采集管道与 AppSec WAF，适用于 Linux 或 Docker 环境。
主要能力：CrowdSec 从日志与 HTTP 请求中检测恶意行为，并通过 LAPI 暴露告警和决策。注意引擎本身不阻断流量，须先安装并验证至少一个 bouncer 才能称为具备防护。
使用方式：Debian/Ubuntu 需添加 CrowdSec 仓库、安装 crowdsec，再安装如 crowdsec-firewall-bouncer-iptables 或 -nftables 的修复包；Docker Compose 部署应仅向必要网络暴露 LAPI（127.0.0.1:8080）、metrics（127.0.0.1:6060）和 AppSec（127.0.0.1:7422），挂载 /etc/crowdsec、/var/lib/crowdsec/data 与日志，并固定审核过的镜像版本。持久化数据目录在 v1.7.0+ 为强制要求。安装后用 systemctl status crowdsec、cscli version、cscli collections list、采集指标和 bouncer 连通性进行验证。采集在 /etc/crowdsec/acquis.yaml 或 acquis.d/ 中配置，每个来源需设置 labels.type。
常用 cscli：cscli version、cscli hub list、cscli collections list、cscli alerts list --contain "scenario:ssh-bf"、cscli decisions list -o json、cscli metrics -o json、cscli explain --file /path/to/sample.log。cscli bouncers add NAME 生成的密钥仅显示一次，需妥善保存。
操作与限制：任何变更前需确认目标主机/容器、范围、备份或回滚及维护窗口，优先只读检查与模拟；调优场景时可用 simulation: true 观察而不执行。不要手动删除决策、集合或数据而未记录原因与撤销路径。区分“未采集到日志”“已采集但未解析”“已解析但无场景命中”“有决策但 bouncer 陈旧”“bouncer 已执行但代理路由错误”等状态，空告警查询不代表安全。跨信任边界为 LAPI 启用 TLS/mTLS。更完整的配置指令、数据库选择与加固细节，资料未提供。