大家好,這是我第一次參加鐵人 AI Security 組。

先說一下背景。我在實習期間與組員做了一個專題:自己搭一座小型的 Windows AD 環境,接上 Wazuh 做監控,再往上疊一層 AI 分析。專案本身也還在進行——這 30 天,我打算把手上已經有的部分整理成文章,同時把還沒做完、還沒驗證的部分也一起寫出來。

這個專案在做什麼？
目標是搭一個小型的攻防環境,把「一個事件從發生到被看見」的整條路徑走一遍。

大致分以下幾層:

環境層：一個對外的網段(攻擊端與監控主機所在)、一個內部網段(網域控制站與被保護的主機),中間用防火牆隔開。
資料層：Wazuh 負責蒐集端點事件、比對規則、產生告警。
AI 層：把告警結果餵給 AI,做摘要、分級、關聯分析,以及一個簡單的問答介面。

會選這個題目,是因為我實習過程中發現,光是把「資料蒐集」這一層做對,就比想像中麻煩。如果稽核政策沒開對,事件根本不會產生;即便產生了,佇列可能因滿載而遺失;即便沒遺失,又可能被內建規則的噪音蓋掉...
等到這些都處理完,才輪到「AI 要怎麼分析」。不只是「怎麼把 Wazuh 裝起來」,而是接上 AI 之後,多了哪些需要注意的地方。