Man muss das Rad nicht immer 2mal erfinden. Ein Bekannter hat einen guten Artikel inkl. YouTube Video dazu veröffentlicht, in dem alles ganz gut beschrieben ist. Man muss es einmal selbst gemacht haben, ohne sich vorher noch die nächsten drei Schritte zu fragen.
https://elwalikarkoub.substack.com/p/network-isolation-for-dfir-using
Active-Response selbst ist natürlich auch in der Dokumentation von Wazuh selbst gut beschrieben
https://documentation.wazuh.com/current/user-manual/capabilities/active-response/index.html