其實這台防禦主機不僅是做為鐵人賽主系列 企業管理自動化與執行框架-以SOC運作為實例 的支援文件，本身是真的能提供相當程度的防護，這在我私人服務上已連續運作超過半年，遇過幾次手法不怎樣的bot攻擊也撐下來了，WAF能看見比FW更多有趣的東西，當然這並不是為這搭配背書，算是搭配BeakPlatform撰文時突然覺得很適合初學者入門的組合，誠如第一篇就提到的，學資安是主目標，沒必要卡在安裝設定上，希望幫大家節省時間，珍惜生命，遠離....咳，遠離無謂的作業，能自動化的就自動化。

寫到這裡，防禦主機這條線要收尾了。

回頭想，這個系列最初的念頭其實很單純。我見過太多剛進資安領域的人，滿腔熱情地想弄懂 WAF 怎麼擋攻擊、IDS 怎麼看封包、事件怎麼變成案件，結果第一個晚上就卡在
docker compose 起不來，第二個晚上卡在 Suricata 的網卡 offload 把封包切壞，第三個晚上卡在 Vector
的設定檔少了一個欄位。一個禮拜過去，學到的全是除錯，離原本想學的東西反而越來越遠。有些人就這樣放棄了，不是因為資安太難，而是因為門口那道關卡太耗人。

這一鍵安裝就是為了讓大家直接跳過那道門。它不是什麼新發明，裡面每一個元件都是別人寫好的、開源社群磨了多年的作品：ModSecurity、Suricata、CrowdSec、Vector、Cl
ickHouse、Grafana、EveBox、Portainer、cloudflared。我做的事情只是把它們擺在正確的位置、接好線、把那些讓人卡住的坑一個一個填掉，然後用一行指令交到你手上。裝起來之後，你看見的是一套會動的東西，接著才能開始問「它為什麼擋這個」「這條規則是誰命中的」，那才是學習真正開始的地方。這幾週陪著各位走過的每一篇，其實都在
帶大家去看那些 repo 原本的樣子，希望你們之後能帶著好奇心回到上游，去讀它們的文件、去提它們的 issue。

這些元件放在一起，不只是堆疊，而是互補。ModSecurity 看得懂 HTTP 的語意，卻看不見連線層的異常；Suricata 看得見封包，卻不懂應用的上下文；CrowdSec
補上了行為的判斷，把「這個 IP 連續做了什麼」變成可以行動的結論。Vector 負責把三種不同形狀的事件整理成同一條河，ClickHouse 把這條河留下來，Grafana 與 EveBox 讓人看得懂，Portainer 讓你在半夜不必記指令也能把一個容器重新拉起來，cloudflared 則讓這台主機安全地面向世界。單獨一個都有盲點，拼在一起，每一個的缺口剛好被
旁邊那一個補上。這是我在這半年實際運作中最深的體會：防禦的完整性來自於互補，不來自於某一個很強的單點。

最後，也是這套組合最與眾不同的地方，是它不是孤島。透過 od-bridge，防禦主機的事件會送進 BeakPlatform，變成一張案件、進入一條流程，等待一個人做決定；那個決定再順著同一條線走回來，落到 ModSecurity、CrowdSec、Cloudflare 三個執行點，真正把攻擊者擋在門外。資安人員不必在五個介面間切換，只要在一個 SOC管控介面上看事件、做判斷、追蹤結果；系統負責蒐集、整理、執行，人負責看懂與決策。人與系統各做自己擅長的那一半，這才是我心裡協同運作該有的樣子。

防禦不是一次安裝就結束的事，而是一段持續觀察與調整的日常。希望這套工具陪你度過入門最辛苦的那段，然後有一天你能把它拆開、改造、換掉其中幾塊，長成屬於你自己
的樣子。到那時候，這個系列就算真正完成了它的任務。

謝謝看到這裡的您。