終於來到第 30 天。

其實真的寫到這一天，我反而不知道最後一篇應該要寫什麼。

如果再介紹跟 SOC 有關的內容，好像不適合；
如果把前面 29 天全部重新整理一次，好像也只是把已經寫過的內容再講一遍。

所以最後一天，我想單純回頭看看。

寫完這 30 天，我過去到底累積了些什麼？

一開始，我其實沒有覺得自己有很多東西可以寫

會開始寫這個系列，其中一個很重要的原因，是飛飛當初跟我提議：

可以把自己過去工作上的經歷整理下來。

那時候我其實沒有想得很複雜。

因為平常工作就是碰到問題、處理問題，再繼續做下一件事情。

很多事情做完就過去了。

我也沒有特別去想：

這件事情算不算是一個經驗？

甚至在開始整理之前，我其實會覺得，自己好像沒有什麼特別的東西可以寫。

但真的開始一篇一篇回想之後，我才慢慢發現：

好像不是沒有東西，而是以前根本沒有把它們整理起來。

原來以前做過的事情，比我自己想得還多

這 30 天裡，我開始回頭整理以前碰過的事情。

從最一開始的 SOC、SIEM、Log Source，到後面的 Alert、事件判斷、EDR、NDR、事件回應。

再到自動化、情資、Deception、POC、文件，以及最後開始帶一個小團隊。

很多內容在工作的當下，其實沒有想那麼多。

可能只是：

今天資料收不到，那就找原因。

今天出現一個奇怪的 Alert，那就想辦法確認。

客戶有問題，那就去處理。

要做 POC，就去準備環境、建置、驗證。

新人不知道怎麼做，就一起看。

事情一件一件做完，好像也就結束了。

但當我要把這些事情寫成文章時，我就必須重新去想：

我那時候到底做了什麼？

為什麼會這樣處理？

當時碰到了什麼問題？

也是到這個時候，我才發現，原來這些東西其實都有留下來，只是以前沒有特別停下來看看。

我也重新看了一次自己理解的 SOC

第一天開始寫的時候，我對 SOC 最直接的印象，還是每天會接觸到的那些事情。

SIEM、Alert、事件。

但寫到後面，我反而越來越覺得：

SOC 好像不單單只是把 Alert 看完就結束。

一個 Alert 為什麼會出現？

前面的資料有沒有正常收進來？

Parser 有沒有解析正確？

Rule 怎麼判斷？

這個事件是真的異常，還是正常行為？

如果真的有問題，接下來要怎麼處理？

不同設備看到的資訊能不能串起來？

有沒有什麼事情可以自動化？

最後又要怎麼把這些經驗留下來？

慢慢拆開之後，才會發現中間其實還有很多東西。

所以寫完這 30 天，我沒有覺得：

「原來 SOC 我已經都懂了。」

反而比較像：

「原來 SOC 還有這麼多東西可以繼續往下學。」

寫到後面，反而更想補自己不會的地方

這也是我寫這個系列時一直出現的一個想法。

寫自己熟悉的東西時，會慢慢發現旁邊還有很多自己不熟悉的東西。

尤其是紅隊的技能。

以前多是從防守端去看事件。

看到某個行為、某個 Alert，再去判斷可能發生什麼事情。

如果可以更了解攻擊者實際上怎麼做、攻擊是怎麼一步一步發生的，我覺得自己在看防守端的東西時，也會有不同的理解。

另外就是更多藍隊的知識面。

現在比較熟悉的是自己工作上實際碰過的 SOC、SIEM、事件處理這些內容，但藍隊本身還有很多東西可以繼續往下延伸。

所以這 30 天對我來說，不只是把以前的東西寫出來。

某種程度上，也讓我看到：

接下來還有哪些地方是我想補的。

我還沒有很清楚自己最後要往哪裡走

寫到這裡，我也不想硬寫成：

「經過這 30 天，我終於找到自己的方向。」

其實沒有，我現在還沒有很清楚，未來到底會往哪一個方向走。

紅隊我想學。

藍隊也還有很多東西想補。

原本做過的 SOC、SIEM，我也覺得還有很多可以繼續深入的地方。

所以現在的我，還沒有辦法很明確地說：

「以後我就是要走這一條路。」

但是跟開始寫之前相比，我至少比較知道：

自己現在會什麼。

自己還不會什麼。

以及：

接下來有哪些東西是我想繼續學的。

或許對現在的我來說，這樣其實就夠了。

最後，我想特別感謝飛飛

這 30 天會開始，很大一部分是因為當初飛飛跟我提議：

可以試著把自己過去的工作經歷寫下來。

也是因為這個提議，我才真的開始回頭整理，自己這幾年到底做過什麼。

如果沒有開始寫，我可能還是會覺得：

那些就只是每天工作會做的事情而已。

但真的整理下來之後，我才發現，原來很多事情其實都已經慢慢變成自己的經驗。

在這 30 天撰寫的過程中，飛飛也給了我很多鼓勵。

有時候不知道內容可以怎麼整理、不知道還能從什麼方向去寫，她也會引導我去想：

是不是還有什麼以前做過的事情，可以重新拿出來看看。

除了寫文章之外，平常碰到一些工作上或資安相關的問題，有自己想不通的地方，也會從她那邊得到一些建議或不同的方向。

對我來說，飛飛真的是一位很厲害，也很值得我尊敬的資安大神。

所以最後一天，我很想把這段感謝留下來。

謝謝飛飛當初提出這個想法。

也謝謝她在這 30 天裡的鼓勵與引導。

因為這個提議，我才有機會重新整理一次自己走過的這段路。

給處於轉職考量以及不知道在資安領域怎麼選擇的人員

非常推薦你們進來這個社群，這邊很多可以協助到你的問題的大神們，有問題不知道怎麼問的也可以 ＠飛飛，
飛飛會拯救你

您已被邀請加入「飛飛的資安大圈圈 | 閒聊區」！請點選以下連結加入社群！
https://line.me/ti/g2/7ia2KFMbKfq9UDG2UFklKa5kjCczCJU7YrW2cw?utm_source=invitation&utm_medium=link_copy&utm_campaign=default

寫完 30 天之後

如果要問我，寫完這 30 天最大的收穫是什麼？

我想，不是證明自己有多厲害。

反而是讓我發現：

原來自己並不是沒有任何經歷。

一路工作下來，我還是有學到一些東西，也累積了一些屬於自己的經驗。

以前只是沒有特別去整理，也沒有很認真地回頭看看自己到底做過什麼。

現在重新整理一次之後，我至少開始知道自己目前掌握了哪些東西。

當然，我還是沒有多厲害，也還有很多不會的地方，但至少現在的我知道，自己並不是什麼經歷都沒有。

甚至到現在，我都還沒有完全確定自己未來到底要往哪裡走。

但是至少現在的我，有了一些想繼續學習的方向。

紅隊也好、藍隊也好，或者繼續把原本會的東西再往下挖。

可能都還需要時間慢慢找。

所以如果真的要留一句話給寫完第 30 天的自己，我想會是：

我還沒有很清楚最後要往哪裡走，但至少我知道，自己不是什麼都沒有，也開始知道下一步還想學些什麼。

第一次的鐵人賽時長 30 天，到這裡告一段落。

要學的東西，應該還很多。