Pozwala zespołowi bezpieczeństwa reprezentować proces jako playbook, automatyzować odpowiednie kroki i zachować ludzkie zatwierdzenie dla decyzji wymagających osądu lub mogących zakłócić biznes.
Przepływ SOAR może wzbogacić alert o kontekst zasobu i tożsamości, sprawdzić wskaźniki w źródłach informacji o zagrożeniach, otworzyć sprawę, poprosić o zatwierdzenie, a potem zablokować adres lub odizolować hosta. Automatyzacja jest najcenniejsza dla dobrze zrozumianych, masowych działań z wiarygodnymi wejściami.
Zwykła ścieżka dojrzałości to najpierw wzbogacanie, potem ograniczanie: w pełni zautomatyzowane blokowanie zasługuje na zaufanie dopiero po tym, jak ten sam playbook działał bezpiecznie pod ludzkim zatwierdzeniem. Odwracalność jest granicą projektową — zautomatyzowane kroki powinny być łatwe do cofnięcia albo bramkowane jawnym sign-off, bo szybkie błędne działanie z prędkością maszyny tworzy własny incydent.
Najważniejsze punkty
Główny celUczynić operacje bezpieczeństwa szybszymi, bardziej spójnymi i łatwiejszymi do audytu.
Dobre kandydaturyWzbogacanie, zbieranie dowodów, powiadomienia, aktualizacje zgłoszeń i odwracalne działania ograniczające.
Potrzeba zarządzaniaPlaybooki wymagają właścicieli, testowania, kontroli dostępu, obsługi błędów, zarządzania zmianą i pomiaru wyników.
Istotne ograniczenieAutomatyzacja wzmacnia wadliwą logikę tak skutecznie jak zdrową; niebezpieczne playbooki mogą blokować legalną aktywność lub niszczyć dowody.