เหตุผลที่ SOAR สำคัญ

ศูนย์ปฏิบัติการด้านความปลอดภัยสมัยใหม่ (SOC) จมอยู่กับการแจ้งเตือน SIEM ขององค์กรขนาดกลางอาจสร้าง การแจ้งเตือนหลายหมื่นรายการต่อวัน โดยส่วนใหญ่มีความน่าเชื่อถือต่ำหรือเป็นผลบวกลวง

นักวิเคราะห์ไม่สามารถคัดกรองการแจ้งเตือนทุกครั้งด้วยมือได้ ผลลัพธ์คือ ความเหนื่อยล้าจากการแจ้งเตือน: ภัยคุกคามจริงถูกกลบ ระยะเวลาเฉลี่ยในการตอบสนอง (MTTR) เพิ่มขึ้น และภาวะหมดไฟทำให้บุคลากรที่มีทักษะลาออก

SOAR (การประสานงาน การทำงานอัตโนมัติ และการตอบสนองด้านความปลอดภัย) ถูกสร้างขึ้นเพื่อจัดการปัญหานี้ โดยทำให้ส่วนที่ทำซ้ำและกำหนดผลลัพธ์ได้แน่นอนของการสืบสวนและการตอบสนองทำงานโดยอัตโนมัติ

SOAR รวมความสามารถสามด้านไว้ด้วยกัน:

• การประสานการทำงาน — ประสานเครื่องมือที่แตกต่างกันมากมาย (SIEM, EDR, ไฟร์วอลล์ ระบบจัดการตั๋ว และข่าวกรองภัยคุกคาม) ผ่านระนาบควบคุมเดียว
• การทำงานอัตโนมัติ — ดำเนินงานโดยไม่ต้องมีมนุษย์สั่งการ: เพิ่มข้อมูลให้ IP แยกกักโฮสต์ และปิดใช้งานบัญชี
• การตอบสนอง — ขับเคลื่อนวงจรชีวิตเหตุการณ์ทั้งหมด ตั้งแต่การตรวจพบไปจนถึงการควบคุมเหตุการณ์และการปิดกรณี

เป้าหมายไม่ใช่การแทนที่นักวิเคราะห์ แต่คือการกำจัดงานที่น่าเบื่อซ้ำซาก เพื่อให้มนุษย์มุ่งเน้นการตัดสินใจที่ต้องใช้วิจารณญาณ

ลองดูสิ่งที่นักวิเคราะห์ระดับ 1 ทำกับรายงานฟิชชิง แต่ละขั้นตอนเป็นงานเชิงกลและเหมือนเดิมทุกครั้ง:

• แยกที่อยู่เว็บและไฟล์แนบออกจากอีเมล
• เปิดใช้งานไฟล์แนบในสภาพแวดล้อมแยกกัก
• ตรวจสอบชื่อเสียงของโดเมนผู้ส่ง
• ตรวจสอบว่าผู้ใช้รายอื่นได้รับอีเมลฉบับเดียวกันหรือไม่
• เปิดรายการงานและกำหนดระดับความรุนแรง

ไม่มีขั้นตอนใดจำเป็นต้องใช้มนุษย์ แต่ต้องใช้การเรียกส่วนเชื่อมต่อโปรแกรมประยุกต์ SOAR จะกำหนดขั้นตอนเหล่านี้ไว้ครั้งเดียวและเรียกใช้ภายในไม่กี่วินาทีทุกครั้ง

SOAR คือชั้นตัวเชื่อมประสานที่อยู่เหนือเครื่องมือตรวจจับและบังคับใช้นโยบายของคุณ กระแสงานทั่วไปมีดังนี้:

SIEM หรือ EDR สร้างการตรวจพบ การตรวจพบนั้นจะกลายเป็นเหตุการณ์ที่แพลตฟอร์ม SOAR รับเข้า จากนั้น ชุดขั้นตอนปฏิบัติการ จะเริ่มทำงาน เรียกแหล่งข้อมูลเพื่อเพิ่มบริบท ตัดสินใจเลือกการดำเนินการ และส่งคำสั่งกลับไปยังไฟร์วอลล์ ผู้ให้บริการจัดการข้อมูลประจำตัว หรือ EDR

ในเชิงแนวคิด SIEM บอกคุณว่า เกิดอะไรขึ้น ส่วน SOAR ตัดสินใจและดำเนินการว่า ต้องทำอะไรกับเรื่องนั้น

ลองพิจารณาการกักกันโฮสต์ที่ยืนยันแล้วว่าเป็นอันตรายโดยอัตโนมัติ มนุษย์จะเข้าสู่คอนโซล EDR แล้วคลิกแยกกัก การดำเนินการเดียวกันผ่านการผนวกรวมกับ SOAR ใช้การเรียกส่วนเชื่อมต่อโปรแกรมประยุกต์เพียงครั้งเดียว

ด้านล่างคือลักษณะการเรียกแยกกักของ EDR ที่การดำเนินการของ SOAR จะห่อหุ้มไว้ โปรดทราบว่านี่เป็นการดำเนินการด้านความปลอดภัย ไม่ใช่โค้ดที่รันได้โดยลำพัง

เวลาเฉลี่ยในการตอบสนอง (MTTR) คือตัวชี้วัดหลักที่ SOAR ช่วยปรับปรุง การสืบสวนฟิชชิงด้วยมืออาจใช้เวลานักวิเคราะห์ 30-45 นาที แต่ชุดขั้นตอนปฏิบัติการจะเพิ่มข้อมูลให้เสร็จภายในไม่ถึงหนึ่งนาที เหลือเพียงการตัดสินใจขั้นสุดท้ายของมนุษย์

การตอบสนองที่เร็วขึ้นช่วยลดระยะเวลาที่ผู้โจมตียังคงอยู่ในระบบ ซึ่งคือช่วงเวลาระหว่างการถูกเจาะระบบกับการควบคุมเหตุการณ์ ทุกนาทีของระยะเวลาดังกล่าวคือเวลาที่ฝ่ายโจมตีใช้เพื่อยกระดับการโจมตี เคลื่อนที่ไปยังส่วนอื่นของระบบ หรือลอบนำข้อมูลออกไป

นอกเหนือจากความเร็วแล้ว ระบบอัตโนมัติยังให้ ความสม่ำเสมอ นักวิเคราะห์สองคนที่จัดการการแจ้งเตือนเดียวกันอาจดำเนินขั้นตอนต่างกัน แต่ชุดขั้นตอนปฏิบัติการจะทำงานใน the ลักษณะเดียวกันทุกครั้ง ซึ่งสำคัญอย่างยิ่งต่อการปฏิบัติตามข้อกำหนดและการทบทวนหลังเหตุการณ์

การดำเนินการอัตโนมัติทุกครั้งจะถูกบันทึกพร้อมเวลา เหตุการณ์ที่เป็นตัวกระตุ้น และผู้ดำเนินการ (ชุดขั้นตอนปฏิบัติการ) สิ่งนี้สร้าง ร่องรอยการตรวจสอบที่ชัดเจน ซึ่งงานที่ทำด้วยมือมักทำได้ไม่เทียบเท่า

• ไม่มีขั้นตอนใดถูกข้ามเมื่ออยู่ภายใต้ความกดดัน
• การสืบสวนที่ทำซ้ำได้
• หลักฐานถูกเก็บรักษาโดยอัตโนมัติ

ระบบอัตโนมัติไม่ได้หมายความว่าระบบทำงานได้โดยปราศจากมนุษย์ การดำเนินการที่มีผลกระทบสูง เช่น การปิดใช้งานบัญชีผู้บริหารหรือการบล็อกเครือข่ายย่อยสำคัญ ควรหยุดรอการอนุมัติ

แพลตฟอร์ม SOAR รองรับจุดตรวจแบบ มีมนุษย์ร่วมในกระบวนการ: ชุดขั้นตอนปฏิบัติการรวบรวมหลักฐานทั้งหมด นำเสนอหลักฐาน แล้วรอให้นักวิเคราะห์คลิกอนุมัติหรือปฏิเสธก่อนดำเนินการขั้นที่ทำลายข้อมูล

วิธีนี้สร้างสมดุลระหว่างความเร็วกับความปลอดภัยจากการใช้วิจารณญาณของมนุษย์ใน the การดำเนินการที่ย้อนกลับไม่ได้

SOAR มีประสิทธิภาพสูงแต่ไม่ใช่เวทมนตร์ ความล้มเหลวที่พบบ่อยมีดังนี้:

• ขยะเข้าขยะออก — การทำให้กระบวนการที่ไม่ดีทำงานอัตโนมัติจะทำให้การตัดสินใจที่ไม่ดีเกิดเร็วขึ้นเท่านั้น
• การผนวกรวมที่เปราะบาง — ส่วนเชื่อมต่อโปรแกรมประยุกต์เปลี่ยนแปลง โทเค็นหมดอายุ และชุดขั้นตอนปฏิบัติการหยุดทำงานโดยไม่มีการแจ้งเตือน
• การทำงานอัตโนมัติมากเกินไป — การบล็อกโดยอัตโนมัติจากสัญญาณที่อ่อนทำให้เกิดระบบล่มจากการดำเนินการของเราเอง

หลักปฏิบัติคือทำให้เส้นทางการตอบสนองที่เข้าใจดีและมีความเชื่อมั่นสูงทำงานอัตโนมัติก่อน แล้วจึงค่อยขยายขอบเขต

ทีมต่าง ๆ พัฒนาความสามารถด้าน SOAR ได้สองทาง แพลตฟอร์มเฉพาะทาง (Splunk SOAR, Cortex XSOAR, Tines, Torq) มาพร้อมไลบรารีตัวเชื่อมต่อและเครื่องมือแก้ไขชุดขั้นตอนปฏิบัติการแบบภาพ

ทีมขนาดเล็กบางทีมเริ่มจากชุดคำสั่งและตัวจัดตารางเวลา ความเสี่ยงคือการต้องสร้างตัวเชื่อมต่อ ตรรกะการลองใหม่ และการบันทึกการตรวจสอบขึ้นมาเอง

โดยทั่วไป การตัดสินใจขึ้นอยู่กับความครอบคลุมของการผนวกรวมที่ต้องการ เทียบกับเวลาวิศวกรรมที่มีสำหรับบำรุงรักษาโค้ดที่กำหนดเอง

การแจ้งเตือนไม่ใช่ทุกครั้งที่สมควรมีชุดขั้นตอนปฏิบัติการตั้งแต่วันแรก เริ่มจากจุดที่ให้ผลตอบแทนสูงและมีความเสี่ยงต่ำ:

• ปริมาณสูง — การคัดกรองฟิชชิง การแจ้งเตือนมัลแวร์ และความพยายามเดารหัสผ่านซ้ำ ๆ การเรียกใช้บ่อยครั้งช่วยทวีเวลาที่ประหยัดได้
• เข้าใจได้ชัดเจน — ขั้นตอนที่ทำด้วยมือได้รับการบันทึกไว้แล้วและมีความสม่ำเสมอ
• กำหนดผลลัพธ์ได้แน่นอน — หลักฐานชุดเดียวกันนำไปสู่ข้อสรุปเดียวกันได้อย่างน่าเชื่อถือ

หลีกเลี่ยงการเริ่มจากเหตุการณ์ที่เกิดขึ้นไม่บ่อย คลุมเครือ และอาจสร้างผลกระทบเป็นวงกว้าง สร้างความเชื่อมั่นจากกรณีที่น่าเบื่อและทำซ้ำ แล้วจึงขยายไปสู่กรณีที่ยากขึ้น

ทดสอบความเข้าใจเกี่ยวกับแรงจูงใจหลักของ SOAR

ประเด็นสำคัญว่าเหตุใด SOAR จึงมีความสำคัญ:

• SOC ต้องเผชิญกับการแจ้งเตือนจำนวนมหาศาลและภาวะหมดไฟของนักวิเคราะห์ SOAR ทำให้ส่วนที่ทำซ้ำของการตอบสนองทำงานอัตโนมัติ
• SOAR = การประสานการทำงาน (ประสานเครื่องมือ) การทำงานอัตโนมัติ (ดำเนินงาน) และการตอบสนอง (ขับเคลื่อนวงจรชีวิตเหตุการณ์)
• SOAR อยู่เหนือเครื่องมือตรวจจับ และเปลี่ยน สิ่งที่เกิดขึ้น ให้เป็น สิ่งที่ต้องดำเนินการ
• ประโยชน์หลัก: MTTR ลดลง การดำเนินการมีความสม่ำเสมอและตรวจสอบย้อนหลังได้ และระยะเวลาที่ผู้โจมตียังคงอยู่ในระบบสั้นลง
• ให้มนุษย์ร่วมตัดสินใจในการดำเนินการที่ย้อนกลับไม่ได้ และทำให้เฉพาะเส้นทางที่มีความเชื่อมั่นสูงทำงานอัตโนมัติ เพื่อหลีกเลี่ยงระบบล่มจากการดำเนินการของเราเอง