从手动封禁到SOAR编排：防火墙响应进化

前几年我管防火墙的时候，最怕半夜手机响。告警一来，就得爬起来登 VPN、翻日志、定位源 IP、手动加一条封禁规则，一套流程下来半小时没了，第二天还得记着把临时规则清理掉。后来我才想明白，这种"人肉响应"本身就是最大的风险点——攻击早就是自动化的了，防御却还在拼手速，根本不在一个量级上。

我的第一步进化是自动封禁。用 Fail2ban 或 CrowdSec 这类工具解析防火墙的拒绝日志和认证失败日志，再通过 iptables/nftables 或厂商 API 动态下发封禁。这里有个细节我觉得特别聪明：封禁时长用指数退避，从 10 分钟到 1 小时、24 小时，再到永久，既挡得住反复试探的攻击者，也给误伤对象留了自动恢复的机会。当然，白名单机制必须配上，核心业务 IP 绝对不能误封。我的做法是先在非核心网段试跑，盯着误封率调优，稳了再往外推。

真正的质变发生在引入 SOAR 编排之后。以前封不封、怎么封，全看值班人的经验和当时的状态；现在可以把整条处置链路固化成可视化剧本：告警触发后自动富集上下文——这个 IP 属于哪个资产、历史上干过什么、在不在威胁情报库里——然后自动决策是封禁、隔离、开工单还是忽略，执行完结果回写，最后生成复盘报告。像"管理员暴力破解自动封禁加工单通知"这种场景，就很适合当第一个剧本练手。开源的 Shuffle、Cortex XSOAR 社区版都能对接主流防火墙 API，入门门槛其实没想象中高。

回头看，从手动封禁到 SOAR，本质是把"响应"从人的反应速度里解放出来，变成可复用、可审计的流程资产。我的建议是别想着一步到位：先把自动封禁跑稳，再编排第一个简单剧本，每步都留下可交付的东西。响应体系不是建完就收工的产品，而是跟着业务持续迭代的能力——从"敢自动"到"会复盘"，这条路值得慢慢走。