Orquestração, automação e resposta de segurança (SOAR)

É na automação da segurança que o SOAR realmente se diferencia. Normalmente, a ingestão e a análise do imenso volume de dados gerados pela orquestração de segurança exigiriam uma análise manual extensa. No entanto, ao aproveitar a inteligência artificial e o aprendizado de máquina, uma solução SOAR tira a maior parte desse trabalho das mãos humanas. 

Ao aproveitar os playbooks - essencialmente, coleções de processos, respostas e procedimentos predefinidos - o SOAR pode automatizar muitas tarefas, incluindo análise de logs, priorização de alertas, gerenciamento de acesso de usuários e detecção de ameaças.

A Gartner criou o termo SOAR em 2015. Na época, ele significava Security Operations, Analytics, and Reporting (Operações de segurança, análises e relatórios). Desde então, o analista atualizou o termo para sua definição atual, estabelecendo também que uma solução SOAR deve: 

Apoiar a correção de vulnerabilidades e fornecer recursos formalizados de fluxo de trabalho, relatórios e colaboração. Incorpore plataformas de resposta a incidentes de segurança com recursos que incluam gerenciamento de vulnerabilidades, fluxos de trabalho, gerenciamento de incidentes, gerenciamento de casos, recursos de auditoria e registro e relatórios.

Apoiar a forma como uma organização planeja, gerencia, rastreia e coordena sua resposta a incidentes de segurança. Incorporar orquestração e automação de segurança, incluindo automação de fluxo de trabalho, integrações, manuais e gerenciamento de manuais, coleta de dados, análise de registros e gerenciamento do ciclo de vida da conta.

Apoiar a automação e a orquestração de fluxos de trabalho, processos, execução de políticas e geração de relatórios. Incorporar plataformas de inteligência contra ameaças, que incluem agregação, análise, distribuição, visualização e enriquecimento de contexto

O SOAR é, em muitos aspectos, uma evolução do SIEM, e os dois têm muito em comum. Ambos são projetados para coletar e agregar dados de várias fontes, e ambos têm como objetivo permitir um processo de resposta a incidentes mais eficaz e simplificado. Algumas pessoas até começaram a usar os dois termos de forma intercambiável. 

O fato de alguns fornecedores terem começado a incorporar recursos do tipo SOAR em suas soluções turva ainda mais as águas. Isso também não está estritamente isolado aos fornecedores de SIEM. Várias soluções de segurança, incluindo Endpoint Detection and Response (EDR) e Extended Detection and Response (XDR), estão adotando o SOAR. 

Apesar dessas tendências, é importante entender como o SIEM e o SOAR diferem um do outro - porque eles diferem, e de algumas maneiras extremamente importantes.

O primeiro e mais importante é o escopo dos dados coletados. Embora uma solução SIEM reúna inteligência de várias fontes internas, as ferramentas SOAR vão um pouco além. Elas incorporam várias fontes externas e de terceiros e, normalmente, apresentam mais informações em tempo real em sua coleta de dados.