資安監控中心 — 為小型企業偵測並處理攻擊（實驗室環境）
一條完整的資安監控流程——發現攻擊、建立案件、展開調查——以免費工具為一位虛構客戶打造。
需求
一家連鎖助聽器中心（學校專題中的虛構客戶）希望把資安監控委外處理，同時壓低成本。
構想
多數實驗室環境做到發出警報就停了。真正的價值在後面：分類、調查、蒐證。
我打造了什麼
- 在防火牆後方，對工作站與網路進行偵測。
- 透過加密通道，將日誌集中到同一處。
- 我自己撰寫的腳本，會自動把每一則嚴重警報轉成待調查的案件。
- 磁碟與記憶體的鑑識調查工具，以及每天產生的資安報告。
成果
- 6從頭到尾串接的元件
- 7:00每日資安報告，自動寄送
- 100%開源工具
- 實驗室從未用於正式環境——在此明確說明
這條流程在實驗室中可以運作，從偵測一路到調查。它始終停留在實驗室階段：沒有營運指標可以展示，我寧可坦白說明。
畫面一覽
我學到了什麼
選擇開源是為了成本與掌控度，但這也有代價：整合要親手寫腳本，偵測規則要一條條調校。商業套裝產品點三下就能完成——但我學到的也只會剩下三分之一。
技術細節 技術堆疊、架構與決策——給技術背景的讀者
技術堆疊
- Wazuh
- Suricata
- pfSense
- Logstash
- Elasticsearch
- ElastAlert
- TheHive
- Cortex
- AlienVault OTX
- Autopsy
- Volatility
- Python
運作方式
- Sup de Vinci 資安碩士課程的個人專題（2023–2024），虛構客戶為 AudioProthèse+；需求規格依循 ISO/IEC 27001 與 GDPR。
- SIEM：工作站上安裝 Wazuh 代理程式，透過 VPN 回傳，Logstash → Elasticsearch 資料管線，集中式儀表板。
- IDS/IPS：Suricata 部署在 pfSense 防火牆後方，採用 ET Open 與 Snort GPLv2 規則集，並搭配 AlienVault OTX 的 IP 信譽情資來源。
- SOAR：TheHive 透過一支呼叫其 REST API 的 Python 腳本與 Wazuh 串接，將嚴重程度超過門檻的每一則 Wazuh 或 Suricata 警報轉成案件；Cortex 負責補充情資。
- 以 Autopsy（磁碟）與 Volatility（記憶體）進行數位鑑識；每日 7:00 自動產生並寄送報告。
仍待補強
- 僅限實驗室環境——從未用於正式環境
- 沒有營運指標