Was ist SOAR (Security, Orchestration, Automation and Response)?

Die SOAR-Technologie entstand als Konsolidierung von drei früheren Sicherheitstools. Laut Gartner, das den Begriff „SOAR“ im Jahr 2015 erstmals geprägt hat, vereinen SOAR-Plattformen die Funktionen von Plattformen zur Reaktion auf Sicherheitsvorfälle, Plattformen zur Sicherheitsorchestrierung und -automatisierung sowie Plattformen zur Bedrohungsaufklärung in einem Angebot.

Um zu verstehen, wie moderne SOAR-Lösungen funktionieren, kann es hilfreich sein, sie in ihre Kernfunktionen aufzuteilen: Sicherheitsorchestrierung, Sicherheitsautomatisierung und Ereignisreaktion.

„Sicherheitsorchestrierung“ bezieht sich auf die Art und Weise, wie SOAR-Plattformen die Hardware- und Softwaretools im Sicherheitssystem eines Unternehmens verbinden und koordinieren.

SOCs nutzen verschiedene Lösungen, um Bedrohungen wie Firewalls, Threat Intelligence Feeds und Endgeräteschutz-Tools zu überwachen und darauf zu reagieren. Selbst einfache Sicherheitsprozesse können mehrere Tools umfassen. Beispielsweise benötigt ein Sicherheitsanalyst, der eine Phishing-E-Mail untersucht, möglicherweise ein sicheres E-Mail-Gateway, eine Threat-Intelligence-Plattform und Antivirensoftware, um die Bedrohung zu identifizieren, zu verstehen und zu beseitigen. Diese Tools stammen oft von verschiedenen Anbietern und lassen sich nicht problemlos integrieren, sodass Analysten während der Arbeit manuell zwischen den Tools wechseln müssen.

Mit einem SOAR können SOCs diese Tools in einem kohärenten, wiederholbaren Security Operations (SecOps)-Workflow vereinen. SOARs verwenden Programmierschnittstellen (APIs), vorgefertigte Plugins und benutzerdefinierte Integration, um Sicherheitstools (und einige Nicht-Sicherheitstools) zu verbinden. Sobald diese Tools integriert sind, können SOCs ihre Aktivitäten mit Playbook koordinieren.

Playbooks sind Prozesslandkarten, mit denen Sicherheitsanalysten die Schritte von Standardsicherheitsprozessen wie Bedrohungserkennung, -untersuchung und -reaktion skizzieren können. Playbooks können sich über mehrere Tools und Apps erstrecken. Sie können vollständig automatisiert, vollständig manuell oder eine Kombination aus automatisierten und manuellen Aufgaben sein.

SOAR-Sicherheitslösungen können zeitaufwändige, sich wiederholende Aufgaben auf niedriger Ebene wie das Öffnen und Schließen von Support-Tickets, die Anreicherung von Ereignissen und die Priorisierung von Warnmeldungen automatisieren. SOARs können auch die automatisierten Aktionen integrierter Sicherheitstools auslösen. Das bedeutet, dass Sicherheitsanalysten Playbook-Workflows verwenden können, um mehrere Tools miteinander zu verknüpfen und komplexere Sicherheitsabläufe zu automatisieren.

Denken Sie zum Beispiel daran, wie eine SOAR-Plattform die Untersuchung eines kompromittierten Laptops automatisieren könnte. Der erste Hinweis darauf, dass etwas nicht stimmt, kommt von einer EDR-Lösung (Endpoint Detection and Response), die verdächtige Aktivitäten auf dem Laptop erkennt. Der EDR sendet einen Alert an den SOAR, der den SOAR veranlasst, ein vordefiniertes Playbook auszuführen. Zunächst öffnet der SOAR ein Ticket für den Vorfall. Es reichert die Warnung mit Daten aus integrierten Threat-Intelligence-Feeds und anderen Sicherheitstools an. Anschließend führt der SOAR automatisierte Reaktionen aus, beispielsweise das Auslösen eines NDR-Tools (Network Detection and Response), um den Endpunkt unter Quarantäne zu stellen, oder die Aufforderung an Antivirensoftware, Malware zu finden und zu detonieren. Schließlich leitet der SOAR das Ticket an einen Sicherheitsanalysten weiter, der feststellt, ob der Vorfall behoben wurde oder ein menschliches Eingreifen erforderlich ist.

Einige SOARs umfassen künstliche Intelligenz (KI) und maschinelles Lernen, die Daten aus Sicherheitstools analysieren und künftig Wege zur Bewältigung von Bedrohungen empfehlen.

Die Orchestrierungs- und Automatisierungsfunktionen von SOAR ermöglichen es, als zentrale Konsole für die Reaktion auf Sicherheitsvorfälle (IR) zu dienen. Der Bericht über die Kosten einer Datenschutzverletzung von IBM ergab, dass Unternehmen, die sowohl über ein IR-Team als auch über einen IR-Plan verfügen, Verstöße 54 Tage schneller erkannten als Unternehmen, die weder ein IR-Team noch einen IR-Plan hatten. 

Sicherheitsanalysten können SOARs verwenden, um Vorfälle zu untersuchen und zu beheben, ohne zwischen mehreren Tools zu wechseln. Wie Threat-Intelligence-Plattformen aggregieren SOARs Metriken und Warnungen aus externen Feeds und integrierten Sicherheitstools in einem zentralen Dashboard. Analysten können Daten aus verschiedenen Quellen korrelieren, Fehlalarme herausfiltern, Warnungen priorisieren und die spezifischen Bedrohungen identifizieren, mit denen sie es zu tun haben. Anschließend können die Analysten reagieren, indem sie die entsprechenden Playbooks auslösen.

SOCs können SOAR-Tools auch für Post-Incident-Audits und proaktivere Sicherheitsprozesse verwenden. SOAR-Dashboards können Sicherheitsteams dabei helfen, zu verstehen, wie eine bestimmte Bedrohung in das Netzwerk eingedrungen ist, und wie ähnliche Bedrohungen in Zukunft verhindert werden können. Ebenso können Sicherheitsteams mithilfe von SOAR-Daten unbemerkte laufende Bedrohungen identifizieren und ihre Bedrohungsjagd an den richtigen Stellen konzentrieren.