Зачем нужен SOAR

Современные центры операций безопасности (SOC) тонут в оповещениях. SIEM предприятия среднего размера может выдавать десятки тысяч оповещений в день, и большинство из них имеют низкую достоверность или являются ложными срабатываниями.

Аналитики не могут вручную анализировать каждое оповещение. Результат — усталость от оповещений: реальные угрозы теряются среди прочих, среднее время реагирования (MTTR) увеличивается, а выгорание заставляет квалифицированных сотрудников уходить.

SOAR (оркестрация, автоматизация и реагирование в сфере безопасности) предназначен для решения этой проблемы путем автоматизации повторяющихся и детерминированных частей расследования и реагирования.

SOAR объединяет три возможности:

• Оркестрация — координация множества разнородных инструментов (SIEM, EDR, межсетевой экран, система управления заявками, данные о киберугрозах) через единую плоскость управления.
• Автоматизация — выполнение задач без участия человека: дополнить сведения об IP, изолировать узел, отключить учетную запись.
• Реагирование — управление полным жизненным циклом инцидента от обнаружения до локализации и закрытия дела.

Цель не в замене аналитиков, а в устранении рутинной работы, чтобы люди могли сосредоточиться на решениях, требующих оценки.

Рассмотрим, что делает аналитик первого уровня при получении сообщения о фишинге. Каждый шаг механичен и всегда выполняется одинаково:

• Извлечь из письма URL-адреса и вложения.
• Запустить вложение в песочнице.
• Проверить репутацию the домена отправителя.
• Проверить, получили ли другие пользователи the такое же письмо.
• Создать заявку и указать ее уровень критичности.

Ни один из этих шагов не требует человека. Требуется вызов программного интерфейса. SOAR один раз кодирует эти шаги и каждый раз выполняет их за несколько секунд.

SOAR — это связующий слой над вашими инструментами обнаружения и принудительного применения мер. Типичный поток выглядит так:

SIEM или EDR выдает результат обнаружения. Этот результат становится событием, которое принимает платформа SOAR. Запускается плейбук, обращается к источникам дополнительных данных, принимает решение о действиях и передает команды обратно в the межсетевой экран, поставщику удостоверений или EDR.

Концептуально SIEM сообщает вам, что произошло, а SOAR решает и выполняет, что с этим делать.

Рассмотрим автоматическую локализацию подтвержденно вредоносного узла. Человеку пришлось бы войти в консоль EDR и нажать «Изолировать». То же действие через интеграцию SOAR выполняется одним вызовом программного интерфейса.

Ниже показан тип вызова изоляции EDR, который оборачивает действие SOAR. Обратите внимание: это операция безопасности, а не автономно запускаемый код.

Среднее время реагирования (MTTR) — это главный показатель, на который влияет SOAR. Ручное расследование фишинга может занять у аналитика 30–45 минут. Плейбук выполняет обогащение данных менее чем за минуту, оставляя человеку только последнее решение.

Более быстрое реагирование сокращает время присутствия злоумышленника — период между компрометацией и локализацией. Каждая минута присутствия — это минута, которую противник использует для повышения привилегий, горизонтального перемещения или кражи данных.

Помимо скорости, автоматизация обеспечивает согласованность. Два аналитика, работающие с the одним и тем же оповещением, могут выполнять разные шаги. Плейбук каждый раз выполняется одинаково, что крайне важно для соответствия требованиям и анализа после инцидента.

Каждое автоматизированное действие записывается в журнал с отметкой времени, the инициировавшим событием и исполнителем (the плейбук). В результате создается четкий аудиторский след, с которым ручная работа редко может сравниться.

• Под давлением ни один шаг не пропускается.
• Расследования можно воспроизвести.
• Доказательства сохраняются автоматически.

Автоматизация не означает автономность. Действия с серьезными последствиями, например отключение учетной записи руководителя или блокировка критически важной подсети, должны приостанавливаться до получения подтверждения.

Платформы SOAR поддерживают этапы подтверждения человеком: плейбук собирает все доказательства, представляет их и ждет, пока аналитик нажмет «Одобрить» или «Отклонить», прежде чем выполнится разрушительный шаг.

Так скорость сочетается с безопасностью оценки человека при необратимых действиях.

SOAR — мощный инструмент, но не волшебство. Распространенные причины сбоев:

• Мусор на входе — мусор на выходе — автоматизация плохого процесса лишь ускоряет принятие плохих решений.
• Ненадежные интеграции — программные интерфейсы меняются, срок действия токенов истекает, а плейбуки незаметно перестают работать.
• Чрезмерная автоматизация — автоматическая блокировка по слабым сигналам приводит к сбоям, вызванным вами самими.

Следует сначала автоматизировать только хорошо понятные сценарии реагирования с высокой достоверностью, а затем расширять охват.

Команды получают возможности SOAR двумя способами. Специализированные платформы (Спланк SOAR, Кортикс XSOAR, Тайнс, Торк) поставляются с библиотеками соединителей и визуальным редактором плейбуков.

Небольшие команды иногда начинают со сценариев и планировщика. Риск такого подхода заключается в том, что соединители, логику повторных попыток и журналирование действий приходится вручную создавать заново.

Решение обычно зависит от необходимого охвата интеграций и доступного инженерного времени на сопровождение собственного кода.

Не каждое оповещение заслуживает плейбука в первый же день. Начните там, где отдача максимальна, а риск минимален:

• Большой объем — первичный анализ фишинга, оповещения о вредоносных программах, попытки перебора паролей. Частое выполнение многократно увеличивает сэкономленное время.
• Хорошая изученность — ручные шаги уже задокументированы и выполняются согласованно.
• Детерминированность — одинаковые доказательства надежно приводят к одинаковому выводу.

Не начинайте с редких, неоднозначных инцидентов с большим масштабом последствий. Сначала укрепите доверие на скучных, повторяющихся случаях, а затем переходите к более сложным.

Проверьте, насколько вы понимаете основную причину использования SOAR.

Главные выводы о значении SOAR:

• SOC сталкиваются с огромным объемом оповещений и выгоранием аналитиков; SOAR автоматизирует повторяющиеся части реагирования.
• SOAR = оркестрация (координация инструментов), автоматизация (выполнение задач), реагирование (управление жизненным циклом инцидента).
• SOAR располагается над инструментами обнаружения, превращая то, что произошло, в то, что нужно сделать.
• Главные преимущества: снижение MTTR, согласованные и проверяемые действия, сокращение времени присутствия злоумышленника.
• Привлекайте людей к необратимым действиям и автоматизируйте только сценарии с высокой достоверностью, чтобы избежать сбоев, вызванных вами самими.