UDV SOAR

Основная задача, которую решает SOAR — это снижение времени реагирования на инциденты. Если SLA по закрытию инцидентов не выполняется, специалисты перегружены рутинной работой и не занимаются выявлением аномалий и предотвращением атак — пора задуматься об автоматизации процессов с помощью SOAR.

Однако для внедрения SOAR необходимы хорошо выстроенные рабочие процессы в ИБ. Кроме того, SOAR нельзя развернуть и забыть: для обеспечения эффективности платформы требуется постоянное управление и разработка/поддержка правил интеграции. Если количество алертов не зашкаливает, то внедрение SOAR может только усложнить работу.

IRP (Incident Response Platform) — это платформа для автоматизации реагирования на инциденты информационной безопасности. С помощью IRP можно создать различные сценарии реагирования на основании настраиваемых правил и типов инцидентов, которые будут запускаться автоматически в зависимости от поступающих со средств защиты информации данных.

SOAR (Security Orchestration, Automation, and Response) также позволяет автоматизировать реагирование на киберинциденты, но кроме того включает функциональность оркестрации различных СЗИ и ИТ-систем, интеграцию с большим количеством систем и более глубокий анализ данных. Можно сказать, что SOAR — это следующий шаг в эволюции IRP-систем.

Основная функция SIEM — это сбор и анализ событий ИБ из различных источников для выявления потенциальных инцидентов. Можно сказать, что SIEM — это охранная сигнализация, которая срабатывает при обнаружении подозрительной активности. А главная задача SOAR — автоматизация операций по обеспечению безопасности. SOAR получает данные об уже выявленных инцидентах и автоматизирует реагирование.

Самая главная часть SIEM-систем — правила корреляции событий, на основании которых программа выявляет инциденты. SOAR интегрируется с меньшим количеством СЗИ-источников данных, может масштабироваться до большего количества предупреждений, но не может обрабатывать тот же объем данных, что SIEM.

Ключевая функциональность SOAR — это возможность создавать сценарии автоматического реагирования на типовые инциденты ИБ. Другими словами, SOAR начинается там, где заканчиваются возможности SIEM-платформы. На практике они дополняют друг друга и лучше всего работают вместе.

SOAR может собирать данные от различных средств защиты информации:

• SIEM-системы;
• антивирусы и EDR-решения;
• системы управления уязвимостями;
• DLP-продукты;
• платформы анализа угроз (TIP);
• системы поведенческого анализа (UEBA);
• межсетевые экраны, DNS и другие сетевые устройства;
• службы каталогов ОС.