鐵人檔案
用一座自建的 Windows AD 靶場，把「AI 接進 SOC」從口號拆成可驗證的步驟。
30 天分六段：先把三個隔離網段、OPNsense 與 Wazuh 的資料層立起來；接著處理決定成敗的噪音——用實測資料量化；再往上接 AI 分析層，包含欄位對映、RAG 知識庫與一套防幻覺規格；最後回頭處理 AI 自己帶進來的攻擊面：MCP 唯讀整合真的安全嗎、我在用的那個 MCP server 供應鏈稽核得過嗎。
昨天做完第二次小結,交代了接下來要轉進 AI 主線。今天想先把「呈現與回應」這條線收個尾：事件回應的六個階段大致長怎樣,以及同一筆事件,寫給不同的人看,會長成完...
昨天把呈現與回應這條線收尾了。今天正式轉進 AI 主線,想先劃清界線,再往下講細節——這篇算是接下來八天的地基。 AI 該做的事設計上,AI 接兩種輸入:Wa...
昨天劃清了 AI 能做什麼、不能做什麼的邊界。 今天想往下一層,講告警裡那 18 個核心欄位,實際上是怎麼對映到 AI 分析用得到的東西。 18 個欄位,分幾...
昨天做完欄位自我審查。今天走一次分析管線——但只走前半段,規則式、不需要 LLM 的那一半。 後半段(AI 怎麼把這些東西講成一句話)留給明天跟 Day 26...
昨天拆開了分析管線。今天想講知識庫這一側的設計：一份文件怎麼被切段、一個問題怎麼被路由到候選頁。 這篇不需要連任何系統,我直接拿真實的檔案示範一次。 設計上的...
這是這系列裡我一直想做、拖到現在才做的一篇。 前面 25 天講了很多「規格上應該要怎樣」,今天想真的做一次：找一筆資訊不夠完整的告警,餵給套用防幻覺規格的 AI...
昨天測完防幻覺規格,發現一個真實的縫。 今天想講另一件事：把 Wazuh 接給 LLM 用自然語言查詢。 為什麼想做這件事？Day 3 那張三層架構圖裡,分析...
昨天講完「唯讀不等於安全」這個教訓。 今天想把這句話再往前推一步：我信任的這個 MCP server 本身,到底乾不乾淨？ 稽核一個自己每天在用的工具？Day...
昨天稽核完自己在用的 MCP server。 今天想寫兩起外部案例——不是我自己的實驗,是兩份目前少見的、有第一手技術報告的自主 AI agent 入侵事件。...
今天不寫新東西,做三件事：重新把架構講一次、列出這 30 天裡驗證了哪些東西,最後講講心得跟接下來打算怎麼走。 重新講一次架構這座 SOC 分三層,Day 3...
