セキュリティ・オーケストレーション、オートメーション、レスポンス（SOAR）

セキュリティの自動化は、SOARが真に他と一線を画すところです。通常、セキュリティ・オーケストレーションによって生成される膨大な量のデータを取り込み、分析するには、大規模な手作業による分析が必要です。しかし、人工知能と機械学習を活用することで、SOARソリューションはその作業の大部分を人間の手から解放します。 

プレイブック（基本的には、事前に定義されたプロセス、応答、および手順のコレクション）を活用することにより、SOARは、ログ分析、アラートの優先順位付け、ユーザーアクセス管理、および脅威検出を含む多くのタスクを自動化することができます。

ガートナーは2015年にSOARという言葉を制定した。当時は、Security Operations, Analytics, and Reportingの 略であった。 その後、アナリストは現在の定義に更新し、SOARソリューションの必須要件も定めている： 

脆弱性の是正を支援し、形式化されたワークフロー、レポーティング、 コラボレーション機能を提供する。脆弱性管理、ワークフロー、インシデント管理、ケース管理、監査・ロギング機能、レポーティングを含む機能を備えたセキュリティインシデント対応プラットフォームを組み込む。

組織がセキュリティインシデントへの対応を計画、管理、追跡、調整する方法をサポートする。ワークフローの自動化、統合、プレイブックとプレイブック管理、データ収集、ログ分析、アカウントライフサイクル管理など、セキュリティオーケストレーションと自動化を組み込む。

ワークフロー、プロセス、ポリシー実行、レポーティングの自動化とオーケストレーションをサポートする。集計、分析、配信、可視化、コンテキストの濃縮を含む脅威インテリジェンスプラットフォームを組み込む。

SOARは多くの点でSIEMの進化形であり、両者には大きな共通点がある。どちらも複数のソースからデータを収集・集約するように設計されており、より効果的で合理的なインシデント対応プロセスを実現することを目的としている。一部の人々は、この2つの用語を同じ意味で使い始めている。 

さらに水を濁しているのは、SOARのような機能を自社のソリューションに組み込み始めているベンダーがいることだ。これはSIEMベンダーに限った話ではない。Endpoint Detection and Response（EDR）やExtended Detection and Response（XDR）を含む複数のセキュリティ・ソリューションがSOARを採用している。 

このような傾向にもかかわらず、SIEMとSOARがどのように異なるかを理解することは重要である。

まず第一に、収集データの範囲である。SIEMソリューションが様々な内部ソースからインテリジェンスを収集するのに対し、SOARツールはさらに一歩進んでいる。複数の外部ソースやサードパーティソースを組み込んでおり、通常、データ収集においてよりリアルタイムの情報を特徴としている。