awoooi/docs/security/SOC-SIEM-KALI-WAZUH-INTEGRATION-CONTROL.md

IwoooS SOC / SIEM / Kali 112 / Wazuh 整合控制矩陣

項目	內容
日期	2026-06-18
狀態	soc_siem_kali_wazuh_integration_control_ready_no_runtime_action
工具	scripts/security/soc-siem-kali-wazuh-integration-control.py
Snapshot	docs/security/soc-siem-kali-wazuh-integration-control.snapshot.json
主流 AISOC 路線圖	docs/security/MAINSTREAM-AISOC-SECURITY-CONTROL-ROADMAP.md
runtime gate	0

1. 目的

此矩陣把「整體資安監控、告警、Kali 112 與業界主流機制」整合成 IwoooS 可驗收的 SOC 控制面。它不是再多一張靜態規劃表，而是把 Wazuh、Kali 112、Prometheus / Alertmanager、SigNoz、Sentry、Nginx / gateway、host forensic、Docker / systemd、K8s / ArgoCD、Gitea / runner、Harbor / SBOM、backup / DR 都拉進同一條事件鏈。

本階段仍是 repo / snapshot / guard / 前台可視化控制，不是 runtime 授權。它不呼叫 Wazuh API、不呼叫 Kali、不 SSH、不讀 live log、不送 Telegram、不 reload Prometheus / Alertmanager、不建立 SOAR case、不啟用 Wazuh active response、不跑 active scan、不改 firewall / Nginx / K8s / workflow / secret。

2. 導入的主流框架

框架	導入方式
NIST CSF 2.0	以 Govern、Identify、Protect、Detect、Respond、Recover 當 IwoooS SOC 主流程骨架
CIS Controls v8.1	導入資產盤點、漏洞管理、稽核日誌、惡意程式防護、復原與權限審查
CISA KEV	已知遭利用漏洞作為套件 / image / public service 修補優先序
OWASP ASVS / Logging	前後台與 API 的 auth、access-control、錯誤與安全事件 logging，不落 secret
Wazuh XDR / SIEM	endpoint、FIM、rule、decoder、alert 與 active response dry-run 邊界
Suricata / NDR / IDS	先預留被動網路偵測 lane，IPS / inline blocking 需獨立批准
Kali tooling	Kali 112 作為只讀健康、工具版本、scope 與 finding normalization 節點

3. 控制域

控制域	第一階段要求
資產與 owner	所有 host、service、repo、domain、gateway、runner、backup asset 都要有 alias 與 owner mapping
Endpoint / host log	auth、process、network、package、systemd、Docker 訊號要能指到 redacted evidence ref
FIM / persistence	以 Wazuh FIM、process tree、systemd、cron、authorized_keys、port binding 做持久化判讀
Vulnerability / KEV	CVE、KEV、套件、image、SBOM 與 maintenance window 綁在一起
NDR / IDS	Suricata / network detection 先做 passive telemetry lane，不直接變 IPS
Wazuh SIEM	只接 health ref、agent status ref、event ref、rule / decoder readback，不接 raw payload
Kali 112	只接 health、tool version、scope、normalized finding envelope，不接 /execute
告警路由	Prometheus / Alertmanager / Telegram / no-false-green / noise budget 要一起驗證
Incident / Case	finding 升級要有 owner、severity、confidence、dedupe、SLA 與 escalation
鑑識保存	chain of custody、retention、redaction、raw payload absence 必須可驗
配置漂移	Nginx、firewall、K8s、runner、workflow、secret metadata、host config diff 皆納管
供應鏈	Gitea、runner、workflow、deploy key、Harbor、SBOM、image 與 release evidence 串回 SIEM
IAM / secret	SSH、sudo、token、cookie、env、runner secret 只能收 metadata，不收 value
Web / API AppSec	auth decision、access deny、rate-limit、security headers、CORS、webhook 要有 logging 與 owner
Backup / DR	backup existence 不能當 restore proof；restore drill、offsite、escrow、rollback 才能驗收
Reporting	dashboard、KPI、LOGBOOK、frontstage marker 必須保持 0 / false 邊界

4. 固定數字

指標	數值
主流框架	7
控制域	16
C0 控制域	12
C1 控制域	4
訊號源	12
控制候選	20
C0 控制候選	12
C1 控制候選	8
P0 控制候選	12
P1 控制候選	8
owner 必填欄位	42
reviewer checks	36
outcome lanes	14
blocked actions	103
owner response received / accepted	0 / 0
Wazuh event refs accepted	0
Kali scope / finding envelope accepted	0 / 0
active response / active scan / SOAR / auto block	0 / 0 / 0 / 0
runtime gate / action button	0 / 0

5. 第一批 P0 優先順序

優先	候選	狀態
P0-1	資產與 owner 對應表先完整	waiting_soc_owner_packet
P0-2	Wazuh agent / manager / indexer / dashboard health ref 收件	waiting_soc_owner_packet
P0-3	Host auth / process / network / FIM 訊號正規化	waiting_soc_owner_packet
P0-4	Kali 112 health / tool version / scope approval 串接	waiting_soc_owner_packet
P0-5	Kali finding 只接脫敏 envelope，不接 raw output	waiting_soc_owner_packet
P0-6	Prometheus / Alertmanager / Telegram 告警鏈 no-false-green	waiting_soc_owner_packet
P0-7	Sentry / SigNoz 與主機入侵線索關聯	waiting_soc_owner_packet
P0-8	Nginx / firewall / route / TLS / gateway drift 關聯到 SIEM	waiting_soc_owner_packet
P0-9	Gitea / runner / workflow / secret metadata 供應鏈關聯	waiting_soc_owner_packet
P0-10	CISA KEV / CVE / package / image 風險排序	waiting_soc_owner_packet
P0-11	Incident case / owner response / escalation queue	waiting_soc_owner_packet
P0-12	鑑識證據、chain of custody、redaction 與保存期	waiting_soc_owner_packet

6. Runtime 升級順序

1. Repo / snapshot / guard / frontstage marker 完成。
2. Owner 補齊 Wazuh、Kali、host forensic、gateway diff、alert route、supply-chain、KEV / CVE、backup / DR 的脫敏 evidence refs。
3. Reviewer 驗收 raw payload absence、secret absence、dedupe fingerprint、noise budget、rollback owner 與 postcheck owner。
4. 只讀 ingestion 或 mirror 可在獨立批准後啟用。
5. Active response、Kali active scan、credentialed scan、SOAR case create、firewall containment、IPS / blocking 另開維護窗口與 runtime approval。

7. 禁止動作

本階段明確阻擋 Wazuh live API 查詢、Wazuh active response、Wazuh agent / rule / decoder 變更、raw Wazuh payload 儲存、Kali /scan、Kali /execute、Nmap / Nuclei / Nikto / Trivy / Lynis live scan、Kali package update、Kali reboot、SSH / sudo、host log 讀取、Docker / systemd、Nginx、certbot、DNS、firewall、WireGuard、NodePort、NetworkPolicy、ArgoCD、kubectl、Helm、Prometheus reload、Alertmanager reload、Grafana / SigNoz / Sentry / Langfuse 設定、Telegram 實發、SOAR playbook、auto block、secret rotation、workflow / runner / deploy key / webhook / repo secret 變更、raw packet / raw log / 未脫敏截圖、database migration、production write、runtime gate、action button、force push、refs sync 與 GitHub primary switch。

8. 完成度

• SOC / SIEM / Kali / Wazuh 整合控制矩陣：100%
• 前台只讀可視化：待本輪驗證
• 高價值配置 monitoring / alerting / observability 只讀成熟度：78%
• security evidence tooling 只讀成熟度：88%
• Wazuh event refs accepted：0%
• Kali active scan / /execute：0%
• SOAR / active response / auto block：0%
• runtime gate / action button：0%

下一步不是直接掃描或封鎖，而是收齊 owner packet：Wazuh event refs、Kali scope refs、host forensic refs、alert chain refs、gateway diff refs、supply-chain refs、KEV / CVE refs、incident case refs、rollback owner 與 postcheck。驗收前 IwoooS 不宣稱主機乾淨、不宣稱木馬已清除、不宣稱 SIEM 已完成閉環，也不提供任何執行按鈕。

9. 2026-06-18 主流 AISOC 補齊

已新增 docs/security/MAINSTREAM-AISOC-SECURITY-CONTROL-ROADMAP.md，把主流框架與 AISOC 解決方案拆成 IwoooS 可執行工作包。補齊範圍包含 NIST CSF、CIS Controls、CISA Zero Trust、CISA KEV、MITRE ATT&CK / D3FEND、OWASP ASVS / SAMM / SCVS、SLSA、Sigstore、NIST AI RMF、OWASP LLM Top 10、MITRE ATLAS、CSA AI Controls Matrix、OCSF、Sigma、MISP / OpenCTI、Wazuh、Suricata、Zeek、TheHive / Cortex，以及 Microsoft Sentinel / Security Copilot、Google SecOps / Agentic SOC、Cortex XSIAM、CrowdStrike Falcon Next-Gen SIEM / Charlotte AI、Splunk ES / SOAR、Elastic AI SOC Engine、IBM QRadar SOAR、SentinelOne Purple AI 的能力模型。

主流 AISOC 不是自動修復器。IwoooS 採用的順序是先建 AI-ready data foundation，再做 alert triage、investigation plan、threat hunting、case drafting、enrichment、playbook dry-run、human-in-the-loop response、continuous learning 與 governed autonomy。當前全部 response / containment / auto block / SOAR action / Wazuh active response / Kali active scan 仍為 0 / false。

補齊後第一優先順序如下：

1. P0-A 資產 / 配置總清冊。
2. P0-B Wazuh / Kali 112 / SIEM evidence envelope。
3. P0-C Nginx / Gateway config-control。
4. P0-D 端點入侵偵測與鑑識。
5. P0-E 告警鏈 no-false-green。
6. P0-F KEV / package / image / SBOM 關聯。
7. P0-G Incident case gate。
8. P0-H AI Agent 權限閘。