一、30 天學習歷程回顧

經過 30 天的學習，我們從認識 Wazuh 的基本架構開始，逐步了解 Agent 部署、日誌監控、規則與解碼器、檔案完整性監控、漏洞偵測，以及安全事件視覺化分析。
本系列以 Wazuh 為核心，探討如何利用開源工具建立一套集中式資安監控環境。
整個學習過程可以分成五個階段：

二、Wazuh 核心功能整理

透過前面 29 天的介紹，可以將 Wazuh 的重要功能整理如下：

這些功能並非獨立存在，而是可以互相搭配，形成完整的資安監控流程。

三、整合 Wazuh 資安監控流程

在實際環境中，Wazuh 的監控流程可以分成五個步驟：

1. 資料收集
   Agent 收集系統日誌及安全事件
   ↓
2. 日誌解析
   Decoder 擷取事件中的重要資訊
   ↓
3. 規則比對
   Rules 判斷事件是否符合警報條件
   ↓
4. 威脅處理
   產生警報，必要時觸發 Active Response
   ↓
5. 視覺化分析
   透過 Dashboard 檢視事件及趨勢

例如，當攻擊者多次嘗試登入 Linux 伺服器時，系統會記錄登入失敗事件，Wazuh 再依照規則分析是否存在暴力破解的跡象。
若事件符合設定條件，系統可以產生警報，並在已設定主動回應機制的情況下，執行封鎖來源 IP 等措施。

四、30 天學習成果

透過本系列，可以建立以下資安監控相關知識與技能：

需要注意的是，理解功能與完成實際部署仍有差異。若要將 Wazuh 應用於正式環境，還需要進一步驗證偵測準確率、資源消耗及誤報情況。

五、Wazuh 的優勢與限制

雖然 Wazuh 提供多種資安監控功能，但在實際使用時，仍然有需要注意的地方。

因此，Wazuh 並不是安裝完成後就能完全自動防禦所有攻擊的工具，而是需要管理人員持續調整與維護的資安監控平台。

六、未來可以延伸的研究方向

完成基本學習後，Wazuh 還有許多值得深入探討的應用。

1. 整合威脅情報
   將 Wazuh 與外部威脅情報來源結合，例如 VirusTotal 或 MISP，協助辨識可疑 IP、檔案雜湊值及其他威脅指標。
2. 結合機器學習進行異常偵測
   傳統 Wazuh 規則主要依靠預先定義的條件判斷事件，未來可以研究如何利用機器學習分析日誌特徵，辨識異常行為。

例如：

• 利用 Isolation Forest 偵測異常登入行為。
• 使用分類模型區分正常與可疑事件。
• 分析長期警報資料，找出異常活動模式。

3. 建立自動化事件處理流程
   未來可以進一步整合其他自動化工具，建立從事件偵測、警報通知到事件處理的流程，減少管理人員重複操作的時間。

七、30 天鐵人賽心得

這次選擇 Wazuh 作為 30 天鐵人賽的主題，主要是希望透過一個開源資安工具，系統性地了解資安監控的基本原理與實際應用。

在整理文章的過程中，我發現資安監控並不只是收集日誌，而是需要經過資料解析、規則判斷、事件分析與後續處理，才能讓原始紀錄轉變成有價值的安全資訊。

其中，讓我印象較深刻的是 Decoder、Rules 與 Active Response 之間的關係。從原本單純的日誌紀錄，到能夠依照條件產生警報，甚至觸發自動化回應，讓我更清楚理解資安偵測系統的運作方式。

另外，透過 Dashboard 的介紹，也了解到資料視覺化對資安管理的重要性。相較於直接閱讀大量日誌，利用圖表呈現警報數量、事件類型及風險分布，更有助於快速掌握系統狀況。

雖然這 30 天主要聚焦在 Wazuh 的核心功能、設定方法與應用情境，仍有許多進階功能值得實際測試，但這次的整理已經讓我對 SIEM、端點監控與威脅偵測建立更完整的認識。

未來如果有機會，希望能進一步將 Wazuh 與機器學習結合，研究如何透過資料分析提升異常偵測能力，並將所學應用在更完整的資安監控系統中。