大家好！今天是鐵人賽的最後一天，Day 30。

回顧這 30 天，我們從 n8n 自動化流程開始，逐步整合 Wazuh、FastAPI、Gemini AI、VirusTotal 與 LINE，打造一套自動化資安事件處理流程。

這段時間，我們實作了告警接收、漏洞資訊查詢、AI 分析、人工審批、多節點處置與稽核紀錄。今天就來整理這 30 天的實作成果，以及未來可以繼續改進的方向。

一、30 天實作成果

這次的實作主要分成五個部分：

1. 資安告警接收

透過 Wazuh 監控主機事件，並利用 Webhook 將告警傳送至 FastAPI 與 n8n，作為後續自動化流程的觸發來源。

2. 漏洞分析與情資查詢

整合 CVE 漏洞資訊、VirusTotal 與 Gemini AI，協助取得相關威脅情報，並將告警整理成容易理解的風險摘要與處置建議。

3. LINE 人工審批

利用 n8n 的 Wait 節點與 LINE 通知機制，讓管理員在執行重要處置前進行確認，降低自動封鎖可能造成的誤判與服務中斷風險。

4. 多節點自動化處置

透過 SSH 連接不同的測試主機，將核准後的處置指令傳送至指定節點，實現多台主機的協同防禦，並進一步思考白名單與錯誤處理機制。

5. 資安紀錄與流程管理

將資安事件的分析結果、處置狀態與稽核資訊整合至工作流程中，讓事件處理過程更容易追蹤，也為後續的報表產生與紀錄封存建立基礎。

二、這 30 天學到了什麼？

這次實作讓我體會到，資安自動化並不是單純串接幾個 API，而是必須考慮資料傳遞、流程控制、權限管理與錯誤處理。

在整合不同工具的過程中，我也逐漸熟悉 Webhook、HTTP Request、SSH、API 串接與 AI 輔助分析等技術。

此外，透過人工審批機制，我了解到自動化並不代表所有事情都應該交給系統決定。尤其是封鎖 IP 或執行系統指令等操作，仍然需要適當的權限控管與人工確認。

這些實作經驗讓我對 SOAR 的運作方式有了更具體的認識，也讓我看見自動化在資安維運上的應用潛力。

三、未來可以改進的方向

完成這 30 天的實作後，仍有許多值得深入研究的地方：

• 擴充威脅情報來源： 整合 AbuseIPDB、AlienVault OTX 等服務，取得更多威脅情報。
• 強化錯誤處理： 加入重試機制、執行結果驗證與失敗通知，提高流程的穩定性。
• 改善 AI 分析品質： 提供更完整的上下文與可信任的情報來源，降低錯誤判斷的風險。
• 強化權限與稽核： 完善憑證管理、操作權限及處置紀錄，讓系統更接近實際維運需求。

未來也可以進一步研究 AI Agent，讓 AI 協助選擇分析工具與規劃處理步驟，但涉及高風險的防禦操作時，仍應保留必要的權限限制與審批機制。

四、完賽心得

30 天的鐵人賽終於來到最後一天。

從一開始摸索 n8n 的操作，到後來逐步整合 Wazuh、FastAPI、外部 API、AI 模型與 LINE，每一次遇到問題，都是重新理解系統運作方式的機會。

這次最大的收穫，不只是學會使用不同的工具，而是開始理解如何將它們組合成一套完整的工作流程，讓資安事件從告警接收、資訊分析到人工確認與後續處置，都能有更清楚的流程與紀錄。

當然，目前的實作仍有許多可以改善的地方，距離真正部署於企業環境，還需要進一步驗證安全性、穩定性與實際效能。但這 30 天讓我累積了寶貴的實作經驗，也為未來繼續學習資安自動化打下基礎。

最後，感謝這段期間閱讀文章的大家。

30 天 SOAR 實戰，正式完賽！

鐵人賽結束了，但學習不會停止。希望這 30 天的紀錄，也能幫助對資安自動化有興趣的人，一步步建立屬於自己的實作經驗。