SOAR Neden Önemlidir

Modern Güvenlik Operasyon Merkezleri (SOC'ler) uyarılar altında boğuluyor. Orta ölçekli bir kuruluşun SIEM'i günde on binlerce uyarı üretebilir; bunların çoğu düşük güvenilirlikli veya yanlış pozitiftir.

Analistler her uyarıyı elle ön incelemeden geçiremez. Bunun sonucu uyarı yorgunluğudur: gerçek tehditler gömülü kalır, yanıt verme süresi (MTTR) uzar ve tükenmişlik, deneyimli çalışanların kurumdan ayrılmasına yol açar.

SOAR (Güvenlik Orkestrasyonu, Otomasyonu ve Yanıtı), inceleme ve yanıtın tekrarlayan, belirlenebilir bölümlerini otomatikleştirerek bu sorunla mücadele etmek için vardır.

SOAR, üç yeteneği bir araya getirir:

• Orkestrasyon — birçok farklı aracın (SIEM, EDR, güvenlik duvarı, kayıt yönetimi, tehdit istihbaratı) tek bir kontrol düzlemi üzerinden koordine edilmesi
• Otomasyon — insan eylemi olmadan görevleri yürütme: bir IP'yi zenginleştirme, bir ana bilgisayarı yalıtma, bir hesabı devre dışı bırakma
• Yanıt — olayın tüm yaşam döngüsünü algılamadan sınırlamaya ve vakanın kapatılmasına kadar yürütme

Amaç analistlerin yerini almak değil, insanların muhakeme gerektiren kararlara odaklanabilmesi için the zahmetli işleri ortadan kaldırmaktır.

Bir kimlik avı bildiriminde 1. kademe analistin ne yaptığına bakın. Her adım mekaniktir ve her seferinde aynıdır:

• E-postadan URL'leri ve ekleri çıkarın.
• Ek dosyayı yalıtılmış ortamda çalıştırın.
• Gönderen alan adının itibarını sorgulayın.
• Diğer kullanıcıların da the aynı e-postayı alıp almadığını kontrol edin.
• Bir kayıt açın ve önem derecesini etiketleyin.

Bunların hiçbiri insan gerektirmez; bir uygulama programlama arayüzü çağrısı yeterlidir. SOAR bu adımları bir kez kodlar ve her seferinde saniyeler içinde çalıştırır.

SOAR, algılama ve uygulama araçlarınızın üzerinde yer alan bağlayıcı katmandır. Tipik akış şöyledir:

SIEM veya EDR bir algılama üretir. Bu algılama, SOAR platformunun aldığı bir olaya dönüşür. Bir çalışma kitabı tetiklenir; zenginleştirme kaynaklarını çağırır, yapılacak eylemlere karar verir ve komutları güvenlik duvarına, kimlik sağlayıcısına veya EDR'ye geri gönderir.

Kavramsal olarak SIEM size ne olduğunu söyler; SOAR ise bununla ne yapılacağına karar verir ve bunu uygular.

Doğrulanmış kötü amaçlı bir ana bilgisayarın otomatik olarak sınırlanmasını ele alalım. Bir insan EDR konsolunda oturum açıp Yalıt düğmesine tıklardı. Aynı eylem, bir SOAR entegrasyonu üzerinden tek bir uygulama programlama arayüzü çağrısıdır.

Aşağıda, bir SOAR eyleminin sarmaladığı türden bir EDR yalıtma çağrısı yer alıyor. Bunun bağımsız olarak çalıştırılabilen bir kod değil, bir güvenlik işlemi olduğunu unutmayın.

Ortalama Yanıt Süresi (MTTR), SOAR'ın etkilediği başlıca ölçümdür. Elle yürütülen bir kimlik avı incelemesi bir analistin 30-45 dakikasını alabilir. Bir çalışma kitabı zenginleştirmeyi bir dakikadan kısa sürede tamamlar ve yalnızca son insan kararını bırakır.

Daha hızlı yanıt, saldırganın sistemde kalma süresini kısaltır; bu süre, ele geçirilme ile sınırlama arasındaki aralıktır. Saldırganın sistemde kaldığı her dakika, the hasmın ayrıcalıkları yükseltmek, yanal hareket etmek veya verileri dışarı sızdırmak için kullandığı bir dakikadır.

Hızın yanı sıra otomasyon tutarlılık sağlar. Aynı uyarıyı ele alan iki analist farklı adımlar izleyebilir. Bir çalışma kitabı her seferinde aynı şekilde çalışır; bu da uyumluluk ve olay sonrası inceleme açısından kritik önemdedir.

Her otomatik eylem, zaman damgası, the tetikleyici olay ve the aktör (çalışma kitabı) ile günlüğe kaydedilir. Bu, elle yürütülen çalışmanın nadiren sağlayabildiği temiz bir denetim izi oluşturur.

• Baskı altında adım atlanmaz.
• Yeniden üretilebilir incelemeler.
• Kanıtlar otomatik olarak korunur.

Otomasyon özerklik anlamına gelmez. Bir yöneticinin hesabını devre dışı bırakmak veya kritik bir alt ağı engellemek gibi yüksek etkili eylemler onay için duraklatılmalıdır.

SOAR platformları insan denetimli kapıları destekler: çalışma kitabı tüm kanıtları toplar, bunları sunar ve yıkıcı adım çalışmadan önce bir analistin Onayla veya Reddet düğmesine tıklamasını bekler.

Bu yaklaşım, geri döndürülemez eylemlerde insan muhakemesinin güvenliğini hızla dengeler.

SOAR güçlüdür ancak sihirli değildir. Yaygın arıza biçimleri şunlardır:

• Kötü girdi, kötü çıktı — kötü bir süreci otomatikleştirmek, kötü kararları yalnızca daha hızlı aldırır.
• Kırılgan entegrasyonlar — uygulama programlama arayüzleri değişir, belirteçlerin süresi dolar ve çalışma kitapları sessizce bozulur.
• Aşırı otomasyon — zayıf sinyallere dayanarak otomatik engelleme yapmak, kendi kendinize neden olduğunuz kesintilere yol açar.

İzlenecek yöntem, önce yalnızca iyi anlaşılan ve yüksek güvenli yanıt yollarını otomatikleştirmek, ardından kapsamı genişletmektir.

Ekipler SOAR yeteneğine iki yoldan ulaşır. Özel platformlar (Splunk SOAR, Cortex XSOAR, Tines, Torq), bağlayıcı kitaplıkları ve görsel bir çalışma kitabı düzenleyicisiyle birlikte gelir.

Daha küçük ekipler bazen betiklerle ve bir zamanlayıcıyla başlar. Buradaki risk, bağlayıcıları, yeniden deneme mantığını ve denetim günlüklemesini elle yeniden geliştirmektir.

Karar genellikle gereken entegrasyon kapsamı ile özel kodu sürdürmek için kullanılabilecek mühendislik zamanının karşılaştırılmasına dayanır.

Her uyarı ilk günden bir çalışma kitabını hak etmez. Getirinin en yüksek, riskin en düşük olduğu yerden başlayın:

• Yüksek hacim — kimlik avı ön incelemesi, kötü amaçlı yazılım uyarıları, kaba kuvvet girişimleri. Sık çalıştırma, tasarruf edilen zamanı katlar.
• İyi anlaşılmış — elle yürütülen adımlar zaten belgelenmiş ve tutarlıdır.
• Öngörülebilir — aynı kanıtlar güvenilir biçimde aynı sonuca götürür.

Nadir, belirsiz ve etki alanı geniş olaylarla başlamaktan kaçının. Güveni sıkıcı ve tekrarlayan vakalarda oluşturun, ardından daha zor alanlara ilerleyin.

SOAR'ın temel motivasyonunu anlayışınızı sınayın.

SOAR'ın neden önemli olduğuna dair temel çıkarımlar:

• SOC'ler ezici bir uyarı hacmiyle ve analist tükenmişliğiyle karşı karşıyadır; SOAR yanıtın tekrarlayan bölümlerini otomatikleştirir.
• SOAR = Orkestrasyon (araçları koordine etme), Otomasyon (görevleri yürütme), Yanıt (olayın yaşam döngüsünü yönetme).
• Algılama araçlarının üzerinde yer alır ve ne olduğunu ne yapılacağına dönüştürür.
• Başlıca kazanımlar: daha düşük MTTR, tutarlı ve denetlenebilir eylemler, daha kısa sistemde kalma süresi.
• Geri döndürülemez eylemlerde insanları sürece dahil edin ve kendi kendinize neden olduğunuz kesintileri önlemek için yalnızca yüksek güvenli yolları otomatikleştirin.