1. 安全自动化工程导论
安全自动化工程，指的是把安全工作中反复出现、依赖人工判断与手工操作的任务，转化为可重复执行、可观测、可维护的软件系统。Python 在其中扮演的不是“万能脚本语言”的角色，而是连接器与编排层：它把日志、资产、漏洞、告警、工单、防火墙、EDR、云平台等异构对象连接起来，把安全人员的判断规则固化成代码，把一次性的应急动作沉淀为可复用的能力。
理解 Python 的定位，可以用一条“信号链”来看：数据源产生原始信号，采集与解析把信号变成结构化事实，规则与模型把事实变成判断，编排与执行把判断变成动作，最后反馈与度量把动作结果回流为新的输入。Python 在这条链上几乎无处不在，但它并不替代专业设备——它不替代 SIEM 的存储与检索，不替代 EDR 的端点控制，也不替代防火墙的包过滤。它的价值在于把已有能力按安全意图串起来。
典型场景可以按“人是否在回路中”来划分。第一类是批量巡检与合规核查：例如每天凌晨拉取 200 台主机的 SSH 配置，检查是否允许 root 直接登录、密码认证是否关闭、审计服务是否运行。这类任务人不在回路中，Python 负责采集、比对、生成差异报告。第二类是告警富化与降噪：收到一条“异常登录”告警后，自动查询该 IP 的威胁情报、该账号近 7 天登录基线、该主机资产归属，把原始告警补全为带上下文的判断依据。第三类是响应编排：确认恶意 IP 后，自动在边界防火墙下发临时封禁、在 EDR 上隔离主机、在工单系统创建事件并通知值班人。第四类是安全工具开发：把内部特有的检测逻辑、数据格式、审批流程封装成小工具或服务。
这些场景的共同点是：输入输出明确、判断规则可表达、动作可回滚。反过来说，如果一项工作每次都需要人类专家临场做全新判断，或者动作不可逆且影响面巨大，就不适合直接全自动，而应做成“机器给建议、人做确认”的半自动模式。
工程化思维是本章最需要建立的心智模型。脚本能跑通不等于工程可用，二者差距体现在五个方面。其一是可重复：同样的输入应得到同样的输出，不能依赖“上次手工改过的那个文件”。其二是可观测：每次运行要有结构化日志，记录处理了多少条、跳过多少条、失败多少条、失败原因是什么。其三是可容错：单个 API 超时不应导致整批任务崩溃，要有重试、退避、断点续跑。其四是可配置：IP 段、阈值、API 地址、凭据来源应外置，而不是硬编码在代码里。其五是可审计：谁在什么时候触发了什么动作、影响了哪些对象，必须留痕，因为安全动作本身就可能改变生产环境。
requests.post(firewall_url, data={"ip": ip}) 直接调用。工程化版本会先校验 IP 格式与是否在白名单内，再检查该 IP 是否已被封禁以避免重复下发，调用时设置 5 秒超时并捕获异常，失败后按 1s、2s、4s 退避重试三次，成功后写入审计日志并返回工单号，同时提供一条对应的解封命令。两者功能相同，但后者才能在真实环境中长期运行。
课程项目全景围绕一个可演进的“安全自动化平台”展开。它不是一个一次性的大作业，而是随着章节推进逐步长出来的系统。起步阶段，项目包含一个配置加载模块、一个日志模块和一个 HTTP 客户端封装；随后加入资产清单采集、漏洞结果解析、IOC 匹配；再往后接入告警富化流水线、响应动作执行器、任务调度与失败重试；最后补齐审计记录、指标输出和简单的 Web 查询接口。每一章都会为这个项目增加一个可独立测试的模块，最终形成一个能实际处理“资产—漏洞—告警—响应”闭环的小型平台。
为了让项目从一开始就有清晰边界，下面给出一份项目骨架与模块职责示例，可作为后续章节的落地参照：
secauto/
├── config/
│ ├── settings.yaml # API 地址、阈值、开关
│ └── whitelist.txt # 禁止封禁的 IP / 网段
├── secauto/
│ ├── core/
│ │ ├── config.py # 配置加载与校验
│ │ ├── logger.py # 结构化日志
│ │ └── http_client.py # 超时、重试、退避
│ ├── collectors/ # 资产、日志、漏洞采集
│ ├── parsers/ # 字段归一化与富化
│ ├── rules/ # 阈值、IOC、评分
│ ├── actions/ # 封禁、隔离、工单
│ └── audit/ # 审计与指标
├── tests/ # 单元测试与样例数据
└── run_pipeline.py # 编排入口
这份骨架体现了一个重要原则：采集、解析、判断、执行、审计相互分离。分离之后，替换一个数据源不需要改动判断逻辑，调整一条规则不需要触碰执行代码，测试也可以针对单个模块用样例数据完成，而不必连接真实防火墙。后续章节会依次填充这些目录，并逐步引入类型标注、异常体系、并发控制、凭据管理、幂等设计和测试方法。
最后需要明确边界与责任。安全自动化系统本身也是攻击面：它持有高权限凭据、能下发封禁与隔离指令、能读取大量敏感日志。因此从第一天起就要遵循最小权限、凭据不落盘明文、动作可回滚、关键操作双人复核等原则。Python 让自动化变得容易，而工程化让自动化变得可信——这正是本课程要同时训练的两件事。