SOAR orchestriert die Reaktion, indem es Playbooks ausführt, die Werkzeuge verbinden und wiederholbare Schritte nach einem angenommenen Alarm tun.
Es handelt an Fällen, während eine Protokollplattform die Ereignisse sammelt und korreliert, aus denen solche Fälle werden können.
So funktioniert es
Ein Playbook kann eine Adresse anreichern, ein Ticket öffnen, eine Eigentümerin um Zustimmung zur Isolation bitten und das Ergebnis festhalten.
Automation sollte bei Handlungen enden, die die Organisation schon genehmigt hat, mit einem Menschen bei unumkehrbaren Schritten.
Orchestrierung scheitert, wenn Playbooks undurchsichtig sind oder bei lautem Alarm den falschen Rechner trennen.
Der Wert ist gleichmäßige Reaktion und weniger manuelles Kopieren zwischen Konsolen, nicht ein unbeaufsichtigter Roboter.
Konkrete Beispiele
- Eine bestätigte Phishing Meldung erzeugt ein Ticket, sucht denselben Köder und reiht das Entfernen aus Postfächern ein.
- Ein Alarm über einen gestohlenen Laptop startet ein Playbook, das die Eigentümerin fragt, bevor ein Konto deaktiviert wird.
- Ein nächtliches Playbook sammelt Fallnotizen zu einer Zusammenfassung, die die Morgenleitung an einem Ort lesen kann.
Schutzmaßnahmen
- Genehmigen Sie jede automatische Handlung schriftlich und verlangen Sie einen Menschen für Schritte, die Menschen aussperren oder Daten löschen.
- Prüfen Sie Playbooks an Beispielalarmen, bevor sie Produktivkonten oder Netzkontrollen berühren.
- Messen Sie, wie oft ein Playbook nützlich endet, und nehmen Sie jene außer Dienst, die nur Tickets erzeugen.
- Lassen Sie die Entscheidung, einen Vorfall auszurufen, bei Ihrer Reaktionsleitung, auch wenn Werkzeuge die Belege vorbereiten.