ทำไมเราจึงออกแบบ SOC Integrator แทนการเชื่อมต่อเครื่องมือแบบตรง ๆ (Tool-to-Tool)

ระบบ SOC สมัยใหม่มีเครื่องมือที่ทรงพลังมาก

คุณสามารถเชื่อมต่อ:

Wazuh (Detection & Correlation)
Shuffle (SOAR Automation)
IRIS (Case Management)
PagerDuty (Escalation & On-call)

แต่ปัญหาที่หลายองค์กรพบหลังจากใช้งานไปสักระยะคือ:

การเชื่อมต่อแบบตรงระหว่างเครื่องมือหลายตัว ทำให้ระบบซับซ้อน ควบคุมยาก และขยายต่อได้ยาก

ดังนั้นแทนที่จะเชื่อมทุกอย่างเข้าหากันโดยตรง เราจึงออกแบบองค์ประกอบใหม่ในสถาปัตยกรรมชื่อว่า:

SOC Integrator — ชั้นกลางสำหรับ API Orchestration

บทความนี้อธิบายเหตุผลเชิงสถาปัตยกรรมว่าทำไมการตัดสินใจนี้จึงสำคัญ

ปัญหาของการเชื่อมต่อแบบ Tool-to-Tool

ในหลายโปรเจกต์ มักตั้งค่าแบบนี้:

Wazuh → ส่ง webhook ไป Shuffle
Shuffle → สร้างเคสใน IRIS
Wazuh → ยิงแจ้งเตือนไป PagerDuty
Shuffle → Escalate ไป PagerDuty อีกครั้ง
IRIS → เรียกใช้สคริปต์เพิ่มเติม

ช่วงแรกระบบดูเหมือนทำงานได้ดี

แต่ผ่านไป 6 เดือน จะเริ่มเห็นปัญหา:

Alert ซ้ำ
Severity ไม่สอดคล้องกัน
ชื่อ Incident ไม่เป็นมาตรฐาน
Workflow พังเมื่อมีการปรับ rule
Debug API ยาก
ไม่มี audit log กลางว่า automation ตัดสินใจอะไรไปบ้าง

สิ่งนี้เรียกว่า SOC Spaghetti Architecture

แนวคิดของเรา: เพิ่ม SOC Integrator เป็น Control Plane

แทนที่จะให้แต่ละเครื่องมือคุยกันโดยตรง เราเพิ่มชั้นกลางเพียงจุดเดียวที่รับผิดชอบการควบคุมทั้งหมด

SOC Integrator จะทำหน้าที่:

รับ Alert จาก Wazuh
Normalize และ Enrich ข้อมูล
ใช้ Logic ตามบริบทของลูกค้า
เรียก API ของระบบปลายทางที่เหมาะสม
บันทึกทุกการกระทำไว้เพื่อตรวจสอบย้อนหลัง

โมดูลนี้จึงกลายเป็น Control Plane ของ SOC

ภาพรวมสถาปัตยกรรม

Logical Flow

Log Sources
   ↓
Wazuh (Detection & Correlation)
   ↓
SOC Integrator (API Orchestration Layer)
   ↓
 ├─ Shuffle (Automation / Enrichment)
 ├─ IRIS (Case Management)
 └─ PagerDuty (Escalation)

System Diagram (Mermaid)

flowchart LR
    A["Log Sources\nFirewall / DNS / IDS / VPN / Windows / AD"] --> B["Wazuh\nDetection & Correlation"]

    B --> S["SOC Integrator\nAPI Orchestration Layer"]

    S --> C["Shuffle\nSOAR Automation"]
    S --> D["IRIS (iris-web)\nCase Management"]
    S --> E["PagerDuty\nOn-call Escalation"]

    C -->|"Enrichment / IOC Match Results"| S
    S -->|"Create/Update Case + Evidence"| D
    S -->|"SEV-1/SEV-2 Escalation"| E

    S --> F["SOC Dashboard / Reporting\n(Optional)"]

หลักการสำคัญ: