SOAR

Opis

Automatizuje se ono što se ponavlja i ima jasan ishod: provera indikatora, blokiranje domena, prikupljanje podataka o uređaju, eskalacija. Odluke koje zavise od posla — da li se produkcioni server sme izolovati usred radnog dana — ostaju čoveku.

Uslov je da postupak već postoji. Ako nije poznato ko odobrava izolaciju i šta se radi sa kompromitovanim nalogom, automatizacija samo brže ponavlja nejasnu proceduru.

Šta se često čuje

• Automatizovali smo odgovor, analitičar nam više ne treba.
• Kupili smo platformu, ostalo je samo da je uključimo.
• Što više koraka automatizujemo, to je odgovor bolji.

Pokriva / ne pokriva

Pokriva

• Automatsko prikupljanje konteksta oko alarma
• Ponovljive korake istrage i blokiranja po zadatom pravilu
• Povezivanje alata koji inače ne razmenjuju podatke
• Ujednačen tok obrade istog tipa incidenta

Ne pokriva

• Otkrivanje pretnji (to rade SIEM i EDR)
• Sprečavanje napada
• Odluku koja traži poslovnu procenu posledica
• Postupak koji u organizaciji nije dogovoren ni zapisan