SOAR (Security Orchestration, Automation and Response)

SOAR (Security Orchestration, Automation and Response) — это комплекс совмещенных программных средств, позволяющих организовать сбор данные об угрозах безопасности сразу из нескольких источников, при этом реагируя на низкоуровневые события безопасности без помощи человека. Целью использования стека SOAR является повышение эффективности безопасности физических и цифровых процессов. Термин, придуманный компанией Gartner, может быть применен к продуктам и услугам сегодняшнего дня, помогающим определить и расставить приоритеты, стандартизировать и автоматизировать функции реагирования на инциденты.

По данным Gartner, существует три наиболее важные возможности технологий SOAR:

• Управление угрозами и уязвимостями. Эти технологии поддерживают устранение уязвимостей, обеспечивая формализованный рабочий процесс, отчетность и возможность совместной работы.
• Реагирование на инциденты безопасности. Используются встроенные функции организации планирования, управления, отслеживания и координация реагирования на инциденты безопасности.
• Автоматизация операций безопасности. Поддерживается автоматизация и оркестрация рабочих процессов, в том числе процессов выполнения политик и ведения отчетности.

Также стоит упомянуть, что интеграция с поставщиками Threat Intelligence, оценка эффективности, управление инцидентами информационной безопасности — являются другими не менее важными функциями SOAR. К примеру, единой точкой управления инцидентами в компании имеет возможность стать SOAR-решение.

Необходимо заметить, что большое количество функций SOAR наследуется от SIEM-систем. Это означает, что технология SOAR либо объединяется с внешней SIEM-системой, либо сразу включает в себе встроенный модуль, для того чтобы получать сигналы тревоги, признаков компрометации, векторов атак и других параметров вредоносных действий.

Концепция, а как следствие, и предлагаемые технические решения приобрели свою актуальность не так давно. Потребности к продуктам подобного класса начали возникать только в последние два года. Компаний, которые могут предложить готовые решения SOAR-систем, не так уж и много, тем не менее уже имеются российские разработки. Для многих не будет секретом, если сказать, что эффективное реагирование на инциденты ИБ требует наличие инструментов, которые смогут автоматизировать эти процессы. Вот почему в недалеком будущем востребованность и актуальность SOAR-систем будет только набирать обороты.