Dlaczego SOAR ma znaczenie

Współczesne centra operacji bezpieczeństwa (SOC) toną w alertach. SIEM w średniej wielkości przedsiębiorstwie może generować dziesiątki tysięcy alertów dziennie, z których większość ma niską wiarygodność lub jest fałszywie pozytywna.

Analitycy nie są w stanie ręcznie przeanalizować każdego alertu. Rezultatem jest zmęczenie alertami: prawdziwe zagrożenia giną w szumie, wydłuża się średni czas reakcji (MTTR), a wypalenie zawodowe skłania wykwalifikowanych pracowników do odejścia.

SOAR (orkiestracja, automatyzacja i reagowanie w obszarze bezpieczeństwa) służy do rozwiązania tego problemu przez automatyzację powtarzalnych, deterministycznych elementów analizy i reagowania.

SOAR łączy w sobie trzy funkcje:

• Orkiestracja — koordynowanie wielu różnych narzędzi (SIEM, EDR, zapora sieciowa, system obsługi zgłoszeń, threat intelligence) za pomocą jednej płaszczyzny zarządzania.
• Automatyzacja — wykonywanie zadań bez udziału człowieka: wzbogacanie danych o adresie IP, izolowanie hosta, wyłączanie konta.
• Reagowanie — obsługa całego cyklu życia incydentu, od wykrycia po powstrzymanie zagrożenia i zamknięcie sprawy.

Celem nie jest zastąpienie analityków, lecz usunięcie żmudnych czynności, aby ludzie mogli skupić się na decyzjach wymagających oceny sytuacji.

Proszę przeanalizować czynności wykonywane przez analityka poziomu 1. podczas zgłoszenia phishingu. Każdy krok jest mechaniczny i za każdym razem wygląda tak samo:

• Wyodrębnienie adresów URL i załączników z wiadomości e-mail.
• Uruchomienie załącznika w sandboxie.
• Sprawdzenie reputacji domeny nadawcy.
• Sprawdzenie, czy inni użytkownicy otrzymali tę samą wiadomość e-mail.
• Utworzenie zgłoszenia i oznaczenie poziomu ważności.

Żadna z tych czynności nie wymaga udziału człowieka. Wymaga wywołania API. SOAR koduje te kroki raz, a następnie za każdym razem wykonuje je w ciągu kilku sekund.

SOAR jest warstwą łączącą narzędzia wykrywania i egzekwowania zabezpieczeń. Typowy przebieg wygląda następująco:

SIEM lub EDR generuje wykrycie. To wykrycie staje się zdarzeniem, które platforma SOAR pobiera. Uruchamia się playbook, który wywołuje źródła wzbogacania danych, podejmuje decyzje dotyczące działań i przesyła polecenia z powrotem do zapory sieciowej, dostawcy tożsamości lub EDR.

W ujęciu koncepcyjnym SIEM informuje co się wydarzyło, a SOAR decyduje i wykonuje co należy z tym zrobić.

Rozważmy automatyczne odizolowanie potwierdzonego złośliwego hosta. Człowiek zalogowałby się do konsoli EDR i kliknął opcję Isolate. To samo działanie za pośrednictwem integracji SOAR jest pojedynczym wywołaniem API.

Poniżej przedstawiono przykład wywołania izolacji EDR, które opakowuje akcja SOAR. Należy pamiętać, że jest to operacja bezpieczeństwa, a nie samodzielny kod gotowy do uruchomienia.

Średni czas reakcji (MTTR) to główna metryka, na którą wpływa SOAR. Ręczna analiza phishingu może zająć analitykowi 30–45 minut. Playbook wykonuje wzbogacanie danych w mniej niż minutę, pozostawiając człowiekowi tylko podjęcie ostatecznej decyzji.

Szybsze reagowanie skraca czas obecności atakującego w środowisku, czyli okres między przejęciem a powstrzymaniem zagrożenia. Każda minuta tego czasu to minuta, którą przeciwnik może wykorzystać na eskalację uprawnień, ruch boczny lub eksfiltrację danych.

Automatyzacja zapewnia nie tylko szybkość, lecz także spójność. Dwóch analityków obsługujących ten sam alert może wykonać różne kroki. Playbook za każdym razem działa w ten sam sposób, co ma kluczowe znaczenie dla zgodności z wymaganiami i przeglądu po incydencie.

Każde automatyczne działanie jest rejestrowane wraz ze znacznikiem czasu, zdarzeniem wyzwalającym i wykonawcą (playbookiem). Powstaje w ten sposób przejrzysty ślad audytowy, któremu praca ręczna rzadko dorównuje.

• Brak pomijania kroków pod presją.
• Powtarzalne analizy.
• Automatyczne zachowanie dowodów.

Automatyzacja nie oznacza autonomii. Działania o dużym wpływie, takie jak wyłączenie konta członka kadry kierowniczej lub zablokowanie krytycznej podsieci, powinny być wstrzymywane do czasu uzyskania zatwierdzenia.

Platformy SOAR obsługują bramki human-in-the-loop: playbook zbiera wszystkie dowody, przedstawia je i czeka, aż analityk kliknie Approve lub Reject, zanim zostanie wykonany destrukcyjny krok.

Zapewnia to równowagę między szybkością a bezpieczeństwem wynikającym z ludzkiej oceny w przypadku działań nieodwracalnych.

SOAR jest potężnym narzędziem, ale nie działa magicznie. Typowe tryby awarii:

• Śmieci na wejściu, śmieci na wyjściu — automatyzacja złego procesu tylko przyspiesza podejmowanie błędnych decyzji.
• Kruche integracje — interfejsy API się zmieniają, tokeny wygasają, a playbooki przestają działać bez wyraźnego sygnału.
• Nadmierna automatyzacja — automatyczne blokowanie na podstawie słabych sygnałów prowadzi do przestojów spowodowanych przez własne działania.

Należy najpierw automatyzować tylko dobrze poznane ścieżki reagowania o wysokiej pewności, a dopiero później stopniowo rozszerzać zakres.

Zespoły uzyskują funkcje SOAR na dwa sposoby. Dedykowane platformy (Splunk SOAR, Cortex XSOAR, Tines, Torq) oferują biblioteki konektorów i wizualny edytor playbooków.

Mniejsze zespoły czasami zaczynają od skryptów i harmonogramu zadań. Ryzyko polega na tym, że muszą ręcznie odtworzyć konektory, logikę ponawiania prób i rejestrowanie audytowe.

Decyzja zwykle sprowadza się do porównania wymaganej szerokości integracji z dostępnym czasem inżynierskim na utrzymywanie własnego kodu.

Nie każdy alert zasługuje na playbook już pierwszego dnia. Należy zacząć od obszarów, w których korzyści są największe, a ryzyko najmniejsze:

• Duża liczba — analiza phishingu, alerty dotyczące malware, próby ataków siłowych. Częste uruchomienia zwielokrotniają zaoszczędzony czas.
• Dobrze poznane przypadki — ręczne kroki są już udokumentowane i spójne.
• Deterministyczne przypadki — te same dowody niezawodnie prowadzą do tego samego wniosku.

Należy unikać rozpoczynania od rzadkich, niejednoznacznych incydentów o dużym zasięgu skutków. Warto najpierw zbudować zaufanie na nudnych, powtarzalnych przypadkach, a dopiero potem przejść do trudniejszych obszarów.

Sprawdź swoją wiedzę na temat głównego uzasadnienia stosowania SOAR.

Najważniejsze wnioski dotyczące znaczenia SOAR:

• SOC mierzą się z przytłaczającą liczbą alertów i wypaleniem analityków; SOAR automatyzuje powtarzalne elementy reagowania.
• SOAR = Orkiestracja (koordynowanie narzędzi), Automatyzacja (wykonywanie zadań), Reagowanie (obsługa cyklu życia incydentu).
• SOAR działa nad narzędziami wykrywania, zamieniając co się wydarzyło na co należy zrobić.
• Główne korzyści: niższy MTTR, spójne i możliwe do prześledzenia działania oraz krótszy czas obecności atakującego w środowisku.
• W przypadku działań nieodwracalnych należy pozostawić człowieka w procesie i automatyzować wyłącznie ścieżki o wysokiej pewności, aby uniknąć przestojów spowodowanych przez własne działania.