# IwoooS SOC / SIEM / Kali 112 / Wazuh 整合控制矩陣

| 項目 | 內容 |
|------|------|
| 日期 | 2026-06-18 |
| 狀態 | `soc_siem_kali_wazuh_integration_control_ready_no_runtime_action` |
| 工具 | `scripts/security/soc-siem-kali-wazuh-integration-control.py` |
| Snapshot | `docs/security/soc-siem-kali-wazuh-integration-control.snapshot.json` |
| 主流 AISOC 路線圖 | `docs/security/MAINSTREAM-AISOC-SECURITY-CONTROL-ROADMAP.md` |
| runtime gate | `0` |

## 1. 目的

此矩陣把「整體資安監控、告警、Kali 112 與業界主流機制」整合成 IwoooS 可驗收的 SOC 控制面。它不是再多一張靜態規劃表，而是把 Wazuh、Kali 112、Prometheus / Alertmanager、SigNoz、Sentry、Nginx / gateway、host forensic、Docker / systemd、K8s / ArgoCD、Gitea / runner、Harbor / SBOM、backup / DR 都拉進同一條事件鏈。

本階段仍是 repo / snapshot / guard / 前台可視化控制，不是 runtime 授權。它不呼叫 Wazuh API、不呼叫 Kali、不 SSH、不讀 live log、不送 Telegram、不 reload Prometheus / Alertmanager、不建立 SOAR case、不啟用 Wazuh active response、不跑 active scan、不改 firewall / Nginx / K8s / workflow / secret。

## 2. 導入的主流框架

| 框架 | 導入方式 |
|------|----------|
| NIST CSF 2.0 | 以 Govern、Identify、Protect、Detect、Respond、Recover 當 IwoooS SOC 主流程骨架 |
| CIS Controls v8.1 | 導入資產盤點、漏洞管理、稽核日誌、惡意程式防護、復原與權限審查 |
| CISA KEV | 已知遭利用漏洞作為套件 / image / public service 修補優先序 |
| OWASP ASVS / Logging | 前後台與 API 的 auth、access-control、錯誤與安全事件 logging，不落 secret |
| Wazuh XDR / SIEM | endpoint、FIM、rule、decoder、alert 與 active response dry-run 邊界 |
| Suricata / NDR / IDS | 先預留被動網路偵測 lane，IPS / inline blocking 需獨立批准 |
| Kali tooling | Kali 112 作為只讀健康、工具版本、scope 與 finding normalization 節點 |

## 3. 控制域

| 控制域 | 第一階段要求 |
|--------|--------------|
| 資產與 owner | 所有 host、service、repo、domain、gateway、runner、backup asset 都要有 alias 與 owner mapping |
| Endpoint / host log | auth、process、network、package、systemd、Docker 訊號要能指到 redacted evidence ref |
| FIM / persistence | 以 Wazuh FIM、process tree、systemd、cron、authorized_keys、port binding 做持久化判讀 |
| Vulnerability / KEV | CVE、KEV、套件、image、SBOM 與 maintenance window 綁在一起 |
| NDR / IDS | Suricata / network detection 先做 passive telemetry lane，不直接變 IPS |
| Wazuh SIEM | 只接 health ref、agent status ref、event ref、rule / decoder readback，不接 raw payload |
| Kali 112 | 只接 health、tool version、scope、normalized finding envelope，不接 `/execute` |
| 告警路由 | Prometheus / Alertmanager / Telegram / no-false-green / noise budget 要一起驗證 |
| Incident / Case | finding 升級要有 owner、severity、confidence、dedupe、SLA 與 escalation |
| 鑑識保存 | chain of custody、retention、redaction、raw payload absence 必須可驗 |
| 配置漂移 | Nginx、firewall、K8s、runner、workflow、secret metadata、host config diff 皆納管 |
| 供應鏈 | Gitea、runner、workflow、deploy key、Harbor、SBOM、image 與 release evidence 串回 SIEM |
| IAM / secret | SSH、sudo、token、cookie、env、runner secret 只能收 metadata，不收 value |
| Web / API AppSec | auth decision、access deny、rate-limit、security headers、CORS、webhook 要有 logging 與 owner |
| Backup / DR | backup existence 不能當 restore proof；restore drill、offsite、escrow、rollback 才能驗收 |
| Reporting | dashboard、KPI、LOGBOOK、frontstage marker 必須保持 0 / false 邊界 |

## 4. 固定數字

| 指標 | 數值 |
|------|------|
| 主流框架 | `7` |
| 控制域 | `16` |
| C0 控制域 | `12` |
| C1 控制域 | `4` |
| 訊號源 | `12` |
| 控制候選 | `20` |
| C0 控制候選 | `12` |
| C1 控制候選 | `8` |
| P0 控制候選 | `12` |
| P1 控制候選 | `8` |
| owner 必填欄位 | `42` |
| reviewer checks | `36` |
| outcome lanes | `14` |
| blocked actions | `103` |
| owner response received / accepted | `0 / 0` |
| Wazuh event refs accepted | `0` |
| Kali scope / finding envelope accepted | `0 / 0` |
| active response / active scan / SOAR / auto block | `0 / 0 / 0 / 0` |
| runtime gate / action button | `0 / 0` |

## 5. 第一批 P0 優先順序

| 優先 | 候選 | 狀態 |
|------|------|------|
| P0-1 | 資產與 owner 對應表先完整 | `waiting_soc_owner_packet` |
| P0-2 | Wazuh agent / manager / indexer / dashboard health ref 收件 | `waiting_soc_owner_packet` |
| P0-3 | Host auth / process / network / FIM 訊號正規化 | `waiting_soc_owner_packet` |
| P0-4 | Kali 112 health / tool version / scope approval 串接 | `waiting_soc_owner_packet` |
| P0-5 | Kali finding 只接脫敏 envelope，不接 raw output | `waiting_soc_owner_packet` |
| P0-6 | Prometheus / Alertmanager / Telegram 告警鏈 no-false-green | `waiting_soc_owner_packet` |
| P0-7 | Sentry / SigNoz 與主機入侵線索關聯 | `waiting_soc_owner_packet` |
| P0-8 | Nginx / firewall / route / TLS / gateway drift 關聯到 SIEM | `waiting_soc_owner_packet` |
| P0-9 | Gitea / runner / workflow / secret metadata 供應鏈關聯 | `waiting_soc_owner_packet` |
| P0-10 | CISA KEV / CVE / package / image 風險排序 | `waiting_soc_owner_packet` |
| P0-11 | Incident case / owner response / escalation queue | `waiting_soc_owner_packet` |
| P0-12 | 鑑識證據、chain of custody、redaction 與保存期 | `waiting_soc_owner_packet` |

## 6. Runtime 升級順序

1. Repo / snapshot / guard / frontstage marker 完成。
2. Owner 補齊 Wazuh、Kali、host forensic、gateway diff、alert route、supply-chain、KEV / CVE、backup / DR 的脫敏 evidence refs。
3. Reviewer 驗收 raw payload absence、secret absence、dedupe fingerprint、noise budget、rollback owner 與 postcheck owner。
4. 只讀 ingestion 或 mirror 可在獨立批准後啟用。
5. Active response、Kali active scan、credentialed scan、SOAR case create、firewall containment、IPS / blocking 另開維護窗口與 runtime approval。

## 7. 禁止動作

本階段明確阻擋 Wazuh live API 查詢、Wazuh active response、Wazuh agent / rule / decoder 變更、raw Wazuh payload 儲存、Kali `/scan`、Kali `/execute`、Nmap / Nuclei / Nikto / Trivy / Lynis live scan、Kali package update、Kali reboot、SSH / sudo、host log 讀取、Docker / systemd、Nginx、certbot、DNS、firewall、WireGuard、NodePort、NetworkPolicy、ArgoCD、kubectl、Helm、Prometheus reload、Alertmanager reload、Grafana / SigNoz / Sentry / Langfuse 設定、Telegram 實發、SOAR playbook、auto block、secret rotation、workflow / runner / deploy key / webhook / repo secret 變更、raw packet / raw log / 未脫敏截圖、database migration、production write、runtime gate、action button、force push、refs sync 與 GitHub primary switch。

## 8. 完成度

- SOC / SIEM / Kali / Wazuh 整合控制矩陣：`100%`
- 前台只讀可視化：待本輪驗證
- 高價值配置 monitoring / alerting / observability 只讀成熟度：`78%`
- security evidence tooling 只讀成熟度：`88%`
- Wazuh event refs accepted：`0%`
- Kali active scan / `/execute`：`0%`
- SOAR / active response / auto block：`0%`
- runtime gate / action button：`0%`

下一步不是直接掃描或封鎖，而是收齊 owner packet：Wazuh event refs、Kali scope refs、host forensic refs、alert chain refs、gateway diff refs、supply-chain refs、KEV / CVE refs、incident case refs、rollback owner 與 postcheck。驗收前 IwoooS 不宣稱主機乾淨、不宣稱木馬已清除、不宣稱 SIEM 已完成閉環，也不提供任何執行按鈕。

## 9. 2026-06-18 主流 AISOC 補齊

已新增 `docs/security/MAINSTREAM-AISOC-SECURITY-CONTROL-ROADMAP.md`，把主流框架與 AISOC 解決方案拆成 IwoooS 可執行工作包。補齊範圍包含 NIST CSF、CIS Controls、CISA Zero Trust、CISA KEV、MITRE ATT&CK / D3FEND、OWASP ASVS / SAMM / SCVS、SLSA、Sigstore、NIST AI RMF、OWASP LLM Top 10、MITRE ATLAS、CSA AI Controls Matrix、OCSF、Sigma、MISP / OpenCTI、Wazuh、Suricata、Zeek、TheHive / Cortex，以及 Microsoft Sentinel / Security Copilot、Google SecOps / Agentic SOC、Cortex XSIAM、CrowdStrike Falcon Next-Gen SIEM / Charlotte AI、Splunk ES / SOAR、Elastic AI SOC Engine、IBM QRadar SOAR、SentinelOne Purple AI 的能力模型。

主流 AISOC 不是自動修復器。IwoooS 採用的順序是先建 AI-ready data foundation，再做 alert triage、investigation plan、threat hunting、case drafting、enrichment、playbook dry-run、human-in-the-loop response、continuous learning 與 governed autonomy。當前全部 response / containment / auto block / SOAR action / Wazuh active response / Kali active scan 仍為 `0 / false`。

補齊後第一優先順序如下：

1. P0-A 資產 / 配置總清冊。
2. P0-B Wazuh / Kali 112 / SIEM evidence envelope。
3. P0-C Nginx / Gateway config-control。
4. P0-D 端點入侵偵測與鑑識。
5. P0-E 告警鏈 no-false-green。
6. P0-F KEV / package / image / SBOM 關聯。
7. P0-G Incident case gate。
8. P0-H AI Agent 權限閘。
