SOAR (Security Orchestration, Automation en Response), Orchestration, Automation and Security Response verwijst naar een categorie platforms en tools die zijn ontworpen om het beheer van cyberbeveiligingsactiviteiten te verbeteren.
- Orkestratie integratie en coördinatie van heterogene beveiligingstools, -systemen en -processen (bijv: SIEM, EDRdreigingsinformatie) om hun operaties te centraliseren.
- Automatisering (automatisering): geautomatiseerde uitvoering van repetitieve of complexe taken (bijv. waarschuwingen analyseren, schadelijke IP-adressen blokkeren) met behulp van speelboeken (vooraf gedefinieerde scenario's).
- Antwoord (antwoord) Versneld beheer van beveiligingsincidenten, van detectie tot oplossing, met behulp van gestandaardiseerde procedures.
SOAR-doelstellingen
Verkort de reactietijd bij incidenten, verminder menselijke fouten en vang de overvloed aan waarschuwingen op dankzij een uniforme, geautomatiseerde aanpak.
- Kortere reactietijd bij incidenten.
- De efficiëntie van beveiligingsteams verbeteren.
- Lagere veiligheidsgerelateerde kosten.
- Beter zicht op bedreigingen en incidenten.
- Verbeterde naleving van regelgeving.
Voorbeelden van SOAR-gebruik
- Beheer van beveiligingswaarschuwingen (Waarschuwingstriage en incidentkwalificatie) Een SOAR is uitstekend voor het automatiseren van het sorteren en de eerste kwalificatie van beveiligingswaarschuwingen uit verschillende bronnen (SIEM, IDS/IPS, enz.). Het kan waarschuwingen aanvullen met extra contextuele informatie, de ernst van de waarschuwing bepalen en beslissen of het om een echt incident gaat dat nader onderzoek vereist.
- Reactie op beveiligingsincidenten (Automatisering incidentenafhandeling) : Met een SOAR kan het incidentresponsproces geheel of gedeeltelijk worden geautomatiseerd door vooraf gedefinieerde playbooks uit te voeren voor verschillende soorten incidenten (phishing, malware, DDoSenzovoort). Dit kan acties inhouden zoals het isoleren van hosts, het blokkeren van IP-adressen, het verwijderen van gecompromitteerde gebruikersaccounts, het versturen van meldingen, etc.
- Jacht op bedreigingen : Een SOAR kan bedreigingsteams helpen door het verzamelen en analyseren van gegevens te automatiseren, gegevens te verrijken met informatie van dreigingsinformatieen waardoor jachtaanvragen op verschillende systemen kunnen worden uitgevoerd.
- Beheer van kwetsbaarheden (Beheer van kwetsbaarheden) : Een SOAR kan worden geïntegreerd met tools voor kwetsbaarheidsbeheer om het proces van sanering van gedetecteerde kwetsbaarheden. Dit kan het aanmaken van saneringstickets, het bewaken van de voortgang van de sanering en het valideren van de correctie van kwetsbaarheden omvatten.
- Threat Intelligence Platform (TIP) Uitbreiding : Een SOAR kan informatie van informatieplatforms voor bedreigingen (TIP's) gebruiken en erop reageren om de detectie van en reactie op bedreigingen te verbeteren door de verspreiding van compromitterende indicatoren te automatiseren (IOC) in de verschillende beveiligingsprogramma's.
- Geautomatiseerde rapportage en beveiligingsgegevens : Een SOAR kan het genereren van beveiligingsrapporten en -dashboards automatiseren om een overzicht te geven van het beveiligingsbeleid, de prestaties van het beveiligingsteam en incidenttrends.
Verwant gereedschap
Palo Alto Cortex XSOAR, Splunk Phantom, IBM Resilient.
Complementariteit
vaak gekoppeld aan een SIEM (Security Information and Event Management) voor optimale detectie en respons.
Verschillen tussen SOAR en SIEM
Het is belangrijk om onderscheid te maken tussen SOAR en SIEM, hoewel de twee technologieën vaak complementair zijn.
- SIEM (Beveiligingsinformatie- en gebeurtenissenbeheer) : SIEM is een platform voor het beheer van beveiligingsinformatie en -gebeurtenissen. Het verzamelt en analyseert beveiligingslogs en gebeurtenissen uit verschillende bronnen binnen de IT-infrastructuur om beveiligingsrisico's te detecteren. SIEM richt zich voornamelijk op detectie en waarschuwing.
- SOAR (Security Orchestration, Automation and Response) : SOAR gaat verder dan eenvoudige detectie en waarschuwing. Het neemt waarschuwingen van de SIEM (en andere tools) en orkestreert en automatiseert de respons bij deze waarschuwingen. SOAR richt zich opreacties automatiseren en de operationele efficiëntie van beveiliging verbeteren.
Samengevat:
- SIEM: detecteert en waarschuwt.
- SOAR: reageert en automatiseert.
