Orquestación, automatización y respuesta de seguridad (SOAR)

La automatización de la seguridad es el aspecto en el que SOAR realmente se distingue. Normalmente, la ingesta y el análisis del inmenso volumen de datos generados por la orquestación de la seguridad requerirían un extenso análisis manual. Sin embargo, al aprovechar la inteligencia artificial y el aprendizaje automático, una solución SOAR elimina la mayor parte de ese trabajo de las manos humanas. 

Aprovechando los playbooks -esencialmente, colecciones de procesos, respuestas y procedimientos predefinidos-, SOAR puede automatizar muchas tareas, como el análisis de registros, la priorización de alertas, la gestión del acceso de usuarios y la detección de amenazas.

Gartner estableció el término SOAR en 2015. En aquel momento, significaba Operaciones, Análisis e Informes de Seguridad. Desde entonces, el analista lo ha actualizado a su definición actual, al tiempo que establece que una solución SOAR debe: 

Apoyar la corrección de vulnerabilidades y proporcionar un flujo de trabajo formalizado, informes y capacidades de colaboración. Incorporar plataformas de respuesta a incidentes de seguridad con capacidades que incluyan gestión de vulnerabilidades, flujos de trabajo, gestión de incidentes, gestión de casos, capacidades de auditoría y registro, y elaboración de informes.

Apoyar el modo en que una organización planifica, gestiona, rastrea y coordina su respuesta a los incidentes de seguridad. Incorporar la orquestación y la automatización de la seguridad, incluida la automatización del flujo de trabajo, las integraciones, los playbooks y la gestión de playbooks, la recopilación de datos, el análisis de registros y la gestión del ciclo de vida de las cuentas.

Apoyar la automatización y orquestación de flujos de trabajo, procesos, ejecución de políticas e informes. Incorporar plataformas de inteligencia sobre amenazas, que incluyan agregación, análisis, distribución, visualización y enriquecimiento del contexto.

SOAR es, en muchos sentidos, una evolución de SIEM, y los dos tienen mucho en común. Ambos están diseñados para recopilar y agregar datos de múltiples fuentes, y ambos tienen como objetivo permitir un proceso de respuesta a incidentes más eficaz y racionalizado. Algunas personas incluso han empezado a utilizar los dos términos indistintamente. 

El hecho de que algunos proveedores hayan empezado a incorporar funciones similares a SOAR en sus soluciones enturbia aún más las cosas. Tampoco se trata estrictamente de proveedores de SIEM. Múltiples soluciones de seguridad, incluidas Endpoint Detection and Response (EDR) y Extended Detection and Response (XDR), están adoptando SOAR. 

A pesar de estas tendencias, es importante entender en qué se diferencian SIEM y SOAR, porque lo hacen, y en algunos aspectos de importancia crítica.

Lo primero y más importante es el alcance de los datos recopilados. Mientras que una solución SIEM recopila información de varias fuentes internas, las herramientas SOAR van un paso más allá. Incorporan múltiples fuentes externas y de terceros y suelen incluir más información en tiempo real en su recopilación de datos.