Mengapa SOAR Penting

Pusat Operasi Keamanan modern (SOC) kewalahan oleh peringatan. SIEM di perusahaan menengah dapat menghasilkan puluhan ribu peringatan setiap hari, yang sebagian besar memiliki ketepatan rendah atau merupakan positif palsu.

Analis tidak dapat melakukan triase terhadap setiap peringatan secara manual. Akibatnya adalah kelelahan akibat peringatan: ancaman nyata tertimbun, waktu rata-rata untuk merespons (MTTR) meningkat, dan kelelahan membuat staf terampil meninggalkan pekerjaannya.

SOAR (Orkestrasi, Otomatisasi, dan Respons Keamanan) hadir untuk mengatasi masalah ini dengan mengotomatiskan bagian-bagian investigasi dan respons yang repetitif serta deterministik.

SOAR menggabungkan tiga kemampuan:

• Orkestrasi — mengoordinasikan berbagai alat yang berbeda (SIEM, EDR, firewall, sistem tiket, intelijen ancaman) melalui satu bidang kendali.
• Otomatisasi — menjalankan tugas tanpa tindakan manusia: memperkaya informasi tentang IP, mengisolasi host, dan menonaktifkan akun.
• Respons — mengelola seluruh siklus hidup insiden, mulai dari deteksi hingga penahanan dan penutupan kasus.

Tujuannya bukan menggantikan analis, melainkan menghilangkan pekerjaan rutin yang melelahkan agar manusia dapat berfokus pada keputusan yang memerlukan penilaian.

Perhatikan apa yang dilakukan analis Tingkat 1 terhadap laporan phishing. Setiap langkah bersifat mekanis dan selalu sama:

• Ekstrak URL dan lampiran dari the email.
• Jalankan the lampiran dalam lingkungan terisolasi.
• Periksa reputasi domain pengirim.
• Periksa apakah pengguna lain menerima the email yang sama.
• Buka tiket dan tandai tingkat keparahannya.

Tidak satu pun dari langkah ini memerlukan manusia. Yang diperlukan adalah panggilan API. SOAR menyandikan langkah-langkah ini sekali dan menjalankannya dalam hitungan detik setiap kali dibutuhkan.

SOAR adalah penghubung di atas alat deteksi dan penegakan Anda. Alur yang umum:

the SIEM atau EDR menghasilkan deteksi. Deteksi tersebut menjadi peristiwa yang diterima oleh platform SOAR. Sebuah buku pedoman dijalankan, memanggil sumber pengayaan, menentukan tindakan, dan mengirimkan perintah kembali ke the firewall, penyedia identitas, atau EDR.

Secara konseptual, the SIEM memberi tahu Anda apa yang terjadi; SOAR menentukan dan menjalankan apa yang harus dilakukan terhadapnya.

Pertimbangkan penahanan otomatis terhadap host yang telah dikonfirmasi berbahaya. Manusia akan masuk ke konsol EDR dan mengeklik Isolasi. Tindakan yang sama melalui integrasi SOAR hanyalah satu panggilan API.

Di bawah ini adalah jenis panggilan isolasi EDR yang dibungkus oleh tindakan SOAR. Perhatikan bahwa ini adalah operasi keamanan, bukan kode mandiri yang dapat dijalankan.

Waktu Rata-rata untuk Merespons (MTTR) adalah metrik utama yang ditingkatkan oleh SOAR. Investigasi phishing secara manual mungkin memerlukan waktu 30–45 menit bagi seorang analis. Buku pedoman menyelesaikan pengayaan dalam waktu kurang dari satu menit, sehingga hanya tersisa keputusan akhir oleh manusia.

Respons yang lebih cepat memperpendek waktu keberadaan penyerang, yaitu jangka waktu antara kompromi dan penahanan. Setiap menit waktu keberadaan adalah satu menit yang digunakan oleh the adversary untuk meningkatkan hak akses, bergerak secara lateral, atau mengeluarkan data.

Selain kecepatan, otomatisasi memberikan konsistensi. Dua analis yang menangani peringatan yang sama mungkin melakukan langkah yang berbeda. Buku pedoman menjalankan langkah yang sama setiap kali, yang sangat penting untuk kepatuhan dan peninjauan pascainsiden.

Setiap tindakan otomatis dicatat bersama stempel waktu, peristiwa pemicu, dan pelakunya (buku pedoman). Hal ini menghasilkan jejak audit yang rapi, yang jarang dapat ditandingi oleh pekerjaan manual.

• Tidak ada langkah yang terlewat saat berada di bawah tekanan.
• Investigasi yang dapat direproduksi.
• Bukti yang disimpan secara otomatis.

Otomatisasi tidak berarti otonomi. Tindakan berdampak tinggi, seperti menonaktifkan akun eksekutif atau memblokir subnet penting, harus dihentikan sementara untuk menunggu persetujuan.

Platform SOAR mendukung gerbang dengan keterlibatan manusia: buku pedoman mengumpulkan semua bukti, menyajikannya, lalu menunggu analis mengeklik Setujui atau Tolak sebelum langkah destruktif dijalankan.

Hal ini menyeimbangkan kecepatan dengan keamanan penilaian manusia pada tindakan yang tidak dapat dibatalkan.

SOAR memang kuat, tetapi bukan sihir. Kegagalan yang umum terjadi:

• Masukan buruk, keluaran buruk — mengotomatiskan proses yang buruk hanya membuat keputusan buruk terjadi lebih cepat.
• Integrasi yang rapuh — API berubah, token kedaluwarsa, dan buku pedoman rusak tanpa terlihat.
• Otomatisasi berlebihan — pemblokiran otomatis berdasarkan sinyal yang lemah menyebabkan gangguan yang ditimbulkan sendiri.

The disiplin yang diperlukan adalah mengotomatiskan terlebih dahulu hanya jalur respons yang dipahami dengan baik dan memiliki tingkat keyakinan tinggi, lalu memperluasnya.

Tim memperoleh kemampuan SOAR melalui dua cara. Platform khusus (Splunk SOAR, Cortex XSOAR, Tines, Torq) menyediakan pustaka konektor dan editor visual buku pedoman.

Tim yang lebih kecil terkadang memulai dengan skrip dan penjadwal. Risikonya adalah harus membuat sendiri konektor, logika percobaan ulang, dan pencatatan audit.

Keputusan biasanya bergantung pada keluasan integrasi yang diperlukan dibandingkan dengan waktu rekayasa yang tersedia untuk memelihara kode khusus.

Tidak setiap peringatan layak mendapatkan buku pedoman sejak hari pertama. Mulailah dari hal-hal yang memberikan manfaat terbesar dengan risiko terendah:

• Volume tinggi — triase phishing, peringatan malware, dan percobaan brute force. Pelaksanaan yang sering melipatgandakan waktu yang dihemat.
• Dipahami dengan baik — langkah-langkah manual telah didokumentasikan dan konsisten.
• Deterministik — bukti yang sama secara andal menghasilkan kesimpulan yang sama.

Hindari memulai dengan insiden yang jarang terjadi, ambigu, dan berdampak luas. Bangun keyakinan melalui kasus-kasus yang membosankan dan repetitif, lalu perluas ke situasi yang lebih sulit.

Uji pemahaman Anda tentang motivasi utama penggunaan SOAR.

Hal-hal penting tentang alasan SOAR penting:

• SOC menghadapi volume peringatan yang sangat besar dan kelelahan analis; SOAR mengotomatiskan bagian-bagian respons yang repetitif.
• SOAR = Orkestrasi (mengoordinasikan alat), Otomatisasi (menjalankan tugas), Respons (mengelola siklus hidup insiden).
• SOAR berada di atas alat deteksi, mengubah apa yang terjadi menjadi apa yang harus dilakukan.
• Manfaat utama: MTTR yang lebih rendah, tindakan yang konsisten dan dapat diaudit, serta berkurangnya waktu keberadaan penyerang.
• Libatkan manusia dalam alur untuk tindakan yang tidak dapat dibatalkan, dan otomatiskan hanya jalur dengan tingkat keyakinan tinggi agar terhindar dari gangguan yang ditimbulkan sendiri.