SOAR 的定义
安全编排、自动化和响应 (SOAR) 是指一组可自动防范网络攻击和自动进行响应的服务和工具。这种自动化是通过统一集成、定义任务运行方式和指定满足组织需求的事件响应计划来实现的。
安全运营中心 (SOC) 团队曾经在重复耗时的任务下不堪重负，而在 SOAR 技术的帮助下，他们现在能够更高效地解决事件，转而降低成本、弥合涵盖范围缺口并提高工作效率。
SOAR 的工作原理
SOAR 通常由编排、自动化和事件响应这三部分组成，它们相互配合来查找和遏止攻击。
编排部分将内部和外部工具（包括现成集成和自定义集成）连接在一起，以便可在一个集中位置访问这些内容。这样，你可合并数据和简化流程，设置适合自动化的场景。
自动化部分对任务进行编程，让它们能够自行执行。这通过 playbook 或工作流集合来实现，当由规则或事件触发时，这些工作流自动运行。通过 playbook，你可自动执行任务、管理警报并创建对威胁和事件的响应。
编排和自动化为 AI 支持的事件响应奠定了基础，从而实现更快、更准确的响应并减少需要纠正的安全问题。
SOAR 与SIEM
如果你在探索安全解决方案，那么你可能会看到一种相关的安全工具，它的缩略词发音很相似：安全信息和事件管理 (SIEM)。什么是 SIEM？它与 SOAR 有何区别？ 这两种解决方案的使用场景分别是什么？
SOAR 工具主要用于编排和自动响应威胁，而 SIEM 通过威胁检测、日志管理、事件分析和法规与标准合规性，让你能够更深入地了解活动。这种可见性通过记录和整合你整个网络中的多个数据流来实现，从而让你大致了解你组织的总体安全状况。
这两种系统配合使用效果最佳。SIEM 会收集和分析数据，而 SOAR 基于数据运行，它们共同构成提供风险检测、可见性和响应的完整解决方案。
自动化和编排
让我们进一步了解使 SOAR 成为可能的两个基本组成部分 - 安全自动化和编排，并进一步了解它们彼此间的区别和互补。
安全自动化让你能够指定自动执行的行动方案。例如，你可使用自动化功能对任务、警报和事件响应进行编程。自动化还有助于加快安全流程（例如威胁搜寻和修正），从而用更少的步骤解决环境中的潜在威胁。通过简化任务和流程，SOC 团队花更少的时间来梳理永无终止的警报，并可着重处理重要的信号。
安全编排让你能够连接到各种各样的工具和集成，从而可汇集和共享信息。通过编排，这些工具还能在整个环境中作为一个整体来响应事件，甚至数据在整个网络中传输时也是这样。凭借这些功能，编排对协调大规模自动化来说至关重要。
安全自动化可简化任务，让它们更顺畅地运行，而安全编排可将工具连接在一起，让它们一起运行。这两种 SOAR 组件相互配合，形成一个更有凝聚力的系统，从始至终最大程度提高效率。
SOAR 为什么很重要？
网络攻击比以往更加常见，而且越来越复杂。这就是许多组织当前优先考虑网络安全的原因，也正是因此，各大公司和客户都在逐年提高他们在安全解决方案上的花费。
尽管如此，网络犯罪分子并没有放慢他们攻击的速度。数据泄露情况正在增多，这造成了海量警报，使得 SOC 团队每天都承受着压力。手动响应这些警报可能很耗时、繁琐，而且不准确。随着来自不同系统的通知量的增加，在干扰中清晰、集中地了解你的安全状况变得越发困难。
这就是 SOAR 发挥作用的地方。SOAR 技术提供了一个端到端系统，它自动识别和响应漏洞，无需人工干预。有了 SOAR 工具，组织可定义和设置他们回应事件的方式，从而腾出时间和预算来关注处理优先级更高的项目。
SOAR 的优势
SOAR 工具对简化你的 SecOps 做法来说至关重要。了解将 SOAR 添加到安全解决方案套件所带来的诸多长期好处。
-
提高工作效率
SOAR 工具可减少正在进行的重复耗时的任务和操作量。这使得你的团队能够更智能地工作，而不必更辛劳。
-
集中查看活动
SOAR 解决方案将来自不同供应商的不同工具集成在一起，让它们都在一个位置。SOC 团队可方便地访问调查和修正事件所需的信息。
-
成本优化
整合安全供应商可帮助你减少多达 60% 的运营成本，为优先级更高的需求留出预算空间。
-
轻松协作和加入
编程工具对系统进行了统一，它将适当的工具提供给适当人员，并向他们提供开始做出更明智决定所需的数据。
-
更快响应
通过在各种场景中自动响应事件，SOAR 工具可极大地减少平均响应时间，从而更快、更准确地解决，并将误报率减少高达 79%。
-
防御新出现的攻击
凭借威胁智能，SOAR 工具通过数据提供对潜在风险的更深入见解，让你的团队可对复杂的事件进行更有意义的调查。
SOAR 最佳做法
确保你的 SOAR 解决方案满足你组织的需求。使用这些建议的特性和功能了解该查看哪些内容。
-
自动事件响应
有效的 SOAR 解决方案应该能够可实现轻松自动化的工具来监视和响应安全警报。
-
编排
工具应该相互连接，作为一个整体发挥作用。你还将需要确保你偏好的集成与你的现有环境兼容。
-
威胁情报
很多 SOAR 平台使用威胁智能来收集有关潜在恶意活动的上下文数据。这有助于安全团队决定保持安全的最佳行动方案。
-
可靠的事件管理
应该在一个集中位置记录、管理和调查事件。这有助于识别和管理潜在和未知的威胁。
-
playbook 自动化
评估 SOAR 解决方案时，你将需要能够创建各种 playbook，并且有权访问预先构建的工作流和自定义工作流。
-
可缩放的灵活基础结构
由于技术不断在变化，可伸缩性和可用性在 SOAR 解决方案中至关重要。请寻找可纵向扩展或缩减来满足你的需求的解决方案。
SOAR 解决方案
每个组织都独一无二，这就是很难找到适合你的 SOAR 解决方案的原因。为了实现最佳协作，你的 SOAR 解决方案应该与你偏好的工具和流程，以及你的现有环境兼容。它应该提供可靠且可自定义的现成自动化，在部署方面具有灵活性，并且应缩放来满足你的需求。
如需涵盖攻击检测、威胁可见性和响应的完整端到端企业解决方案，你将需要探索兼具 SOAR 和 SIEM 功能的服务。Microsoft Sentinel 是一种可缩放的云原生 SecOps 解决方案，随附内置的编排和自动化，以及在整个企业中深入了解的能力。借助 Microsoft Sentinel，单个平台可处理你的所有安全需求。
常见问题解答
-
组织使用 SOAR 工具来自动执行安全操作和更高效地响应事件。这种更简单的安全实现方法可节约更多成本、减少涵盖范围缺口，并提高安全运营团队的工作效率。
-
SOAR 通常通过编排、自动化和响应来实现。编排工具将不同的集成和系统汇集到一个集中位置，而自动化（通常通过 playbook 启动）设置和定义何时该运行某操作。这两种组件协同工作，形成一个快速、高效运行的自动事件响应系统。
-
SOC 团队每天都会收到海量的安全警报。SOAR 工具可自动执行耗时的任务和流程、为自行回应和解决警报的事件响应系统奠定基础，从而帮助减轻部分压力。这让 SOC 团队能留出事件关注于优先级更高的任务。
-
扩展检测和响应 (XDR) 是一种更新的技术，它与 SIEM 和 SOAR 有很多相似之处，跨环境集成数据用于检测和响应威胁。XDR 和 SOAR 都能够自动执行工作流和响应，但只有 SOAR 解决方案支持编排。
-
安全编排、自动化和响应 (SOAR) 技术是指帮助集成和自动执行安全相关任务和流程的一套工具和服务。
关注 Microsoft 365