Kaks inimest vaatavad kontoris tahvelarvutist midagi ja üks neist osutab ekraanile.

Mis on TOAR (turbe orkestreerimise automaatne reageering)

Uurige, mis on turbe orkestreerimise automaatne reageering (TOAR), miks see oluline on ja kuidas see aitab küberturbetoiminguid sujuvamaks muuta.

Tutvuge Microsoft Sentineliga

TOAR on turbetoimingute lahendus, mis aitab turbemeeskondadel ohte mastaapselt uurida ja kahjutustada. Kui kasutate töövoogude automatiseerimiseks tegevusstsenaariumeid, saate vähendada käsitsi tehtavat tööd, suurendada järjepidevust ja reageerida eri turberiistade lõikes varasemast kiiremini.

TOAR aitab turbetoimingute keskustel intsidentidele reageerimist standardiseerida ja skaleerida, kui teadete maht kasvab.
Automatiseeritud töövood vähendavad analüütikute töökoormust ning kiirendavad uurimist, ohjamist ja kahjutustamist.
TOAR suurendab turberiistade lõikes toimingute korraldamise abil järjepidevust, nähtavust ja töö tõhusust.
Tänapäevased TOAR-i võimalused on turbeteabe ja -sündmuste haldusse (SIEM) üha sügavamalt sisse ehitatud ning TI abistatud töövoogude abil täiustatud.

TOAR-i selgitus

Turbetoimingute meeskonnad toetuvad ohtude tuvastamiseks ja kõrvaldamiseks paljudele tööriistadele. Ilma korralduseta peavad analüütikud pingelises olukorras süsteeme käsitsi vahetama, konteksti koguma ja otsuseid vastu võtma – see aeglustab reageerimist, suurendab teadetest tulenevat väsimust ning viib ebaühtlaste tulemusteni.

TOAR aitab neid probleeme lahendada, normides reageerimisprotsessid korduvateks töövoogudeks. Tegevusstsenaariumite abil saavad meeskonnad automaatselt rikastada teateid, koordineerida toiminguid tööriistade lõikes ning juhendada analüütikuid järjepidevate uurimis- ja reageerimisetappide kaudu, säilitades samas inimesepoolse järelevalve.

Kuidas see töötab

TOAR aitab turbetoimingute keskuse meeskondadel organisatsiooni kaitseks tõhusamalt koostööd kolmel peamisel viisil: turbekorraldus, turbeautomaatika ja intsidentidele reageerimine.

Turbekorraldus
Turbekorraldus on koordineerimiskiht. See ühendab olemasolevad tehnoloogiad, nagu SIEM, lõpp-punkti ohutuvastus ja -kõrvaldus (EDR), laiendatud ohutuvastus ja -kõrvaldus (XDR), identiteedikaitse, meiliturve, tulemüürid ja ohuanalüüsilahendused, et koondada ohutuvastus, -uurimine ja -reageerimine ühte kohta kokku.

Näiteks kui SIEM-lahendus tuvastab võimaliku konto turberikke, saab TOAR-lahendus teha näiteks järgmist.

Kasutajahaldussüsteemist automaatselt kontekstipõhiste andmete kogumine.
Ristviitamine sisselogimiskatsele ja ohuanalüüsiallikale, et riski hinnata.
Kasutaja tegevuse kontrollimine lõpp-punkti turberiistade lõikes, et leida turberikke või külgliikumise märke.
Juurdepääsulogidest hiljutise sisselogimisajaloo toomine.
Ohu ohjamiseks asjakohaste süsteemide lõikes reageerimistegevuse korraldamine.

TOAR-lahenduseta organisatsioonid peaksid kõik need toimingud käsitsi tegema. Korralduse abil saavad meeskonnad luua töövooge, mis liigutavad teavet struktuurselt ühest süsteemist teise.

Turbeautomaatika
Turbeautomaatika vähendab korduvate ja ajatundlike ülesannetega seotud käsitsitöökoormust. TOAR-lahenduse abil saavad meeskonnad luua konkreetset tüüpi intsidentide järgi samm-sammult liigendatud töövooge, mis on näiteks järgmised.

Teadete rikastamine ohuteabe abil.
Kontekstipõhiste andmete kogumine lõpp-punktidest või identiteedisüsteemidest.
Ründe-IP-aadresside blokeerimine.
Turberikkega kontode keelamine.
Huvirühmade teavitamine ja toimingute dokumenteerimine.

Nende toimingute automatiseerimise abil reageerivad turbemeeskonnad kiiremini ja järjepidevamalt, eriti mahukate sündmuste korral.

Intsidentidele reageerimine
Kuna TOAR-turbelahendus koondab ja analüüsib mitmest lahendusest pärit andmeid, on sellel keskne andmelaud, mille abil intsidentidele reageerida. See hõlbustab süsteemide lõikes teadete korreleerimist ning domeeniüleste ohtude uurimist.

Organisatsioonid kasutavad TOAR-lahendusi ka selleks, et standardida viise, kuidas need intsidente ohjavad, kahjutustavad ja dokumenteerivad. Selle asemel, et toetuda ainult üksikute analüütikute kogemustele, juhinduvad meeskonnad intsidentidele reageerimiseks ettemääratud töövoogudest. See aitab organisatsioonidel jõustada paremat juhtimist, selgemat vastutust ja prognoositavamaid tulemusi.

Tavalised TOAR-i funktsioonid

Lisaks turbekorralduse, -automaatika ja intsidentidele reageerimise võimalustele on TOAR-lahendustel enamasti ka muid funktsioone.

Tegevusstsenaariumid
Tegevusstsenaariumid on ettemääratud töövood, kus on liigendatud konkreetset tüüpi intsidentide käsitlemise viis. Organisatsiooni teave tõlgendatakse ümber struktureeritud korratavateks protsessideks, et lähenemine oleks eri vahetuste ja meeskondade lõikes järjepidev. Tegevusstsenaariumi alusel võidakse näiteks määrata, kuidas uurida andmepüügiteadet, reageerida võimalikule identimisteabe turberikkele või ohjata ründevaranakkust.

Intsidendihaldus ja juhtumihaldus
Paljud TOAR-lahendused sisaldavad sisseehitatud intsidendi- või juhtumihalduse funktsioone, mis võimaldavad meeskondadel jälgida uurimist alates algsest teatest kuni lahenduseni. Need funktsioonid aitavad muuta intsidentide haldamise sujuvamaks, pakkudes keskset kohta toimingute koordineerimiseks ja kogu protsessi vältel nähtavuse säilitamiseks.

Aruandlus ja analüüsiteave
TOAR-turbelahendus genereerib aruanded ja andmelauad, mis annavad ülevaate töö tõhususest. Küberturbe analüüsiteave hõlmab sageli keskmist tuvastusaega (MTTD), keskmist reageerimisaega (MTTR), teadete mahtu, tegevusstsenaariumi kasutust ja lahendusmäärasid.

TOAR-i kasutuselevõtu põhjused

Kui ettevõtted võtavad kasutusele turbe- ja automaatika- ja reageerimisfunktsioonid, siis tõhusus ja järjepidevus sageli märgatavalt suureneb. Samas nõuab juurutamine läbimõeldud planeerimist ja kooskõlastust.

TOAR-i eelised

Kiirem intsidentidele reageerimine ja ohtude ohjamine
Rikastamise, olulisuse alusel sortimise ja reageerimistoimingute automatiseerimise teel vähendavad TOAR-lahendused tuvastamisest kahjutustamiseni kuluvat aega. See aitab lühendada reageerimisaega ja piirab intsidentide mõju.

Tõhusam töö
Organisatsioonid kasutavad automaatikafunktsioone paljude korduvate ülesannete tegemiseks, võimaldades analüütikutel keskenduda tähtsamate asjade uurimisele.

Parem vastavus ja auditivalmidus
Struktureeritud töövood ja automatiseeritud dokumentatsioon toetavad nõuete täitmist ning sisemisi juhtimisprotsesse, luues selged andmed organisatsiooni intsidendikäsitlusest.

Täiustatud koostöö
Tsentraliseeritud juhtumihaldus ja integreeritud töövood annavad turbe- ja IT-töötajatele ning muudele huvirühmadele ühise töövaate.

Otsuste hõlbustamine
Jõudlusnäitajad ja trendiandmed võimaldavad juhtidel tuvastada kitsaskohad, täpsustada tegevusstsenaariume ja eraldada ressursse tõhusamalt.

TOAR-i kasutuselevõtuga seotud probleemid

Eelnev kujundamine ja planeerimine
Tõhus TOAR nõuab selgelt määratud protsesse ja head tegevusstsenaariumi. Ebaselgete või ebaühtlaste töövoogude automatiseerimine võib tööd hoopis pärssida, mitte tõhustada.

Liigse automatiseerimise oht
Ilma õigete kaitsemeetmeteta võib automaatika valel ajal käivitada häirivaid toiminguid (nt kontode keelamine või süsteemide isoleerimine), mistõttu peab inimene kindlasti järelevalvet tegema.

Operatiivne omandiõigus ja juhtimine
TOAR-i töövooge tuleb käigus hoida, versioonida ja pidevalt täiustada. Ilma selge omandiõiguseta võivad tegevusstsenaariumid aeguda või liiga keerukaks muutuda.

Oskuste ja muutuste haldus
Töötajatel on vaja nii turb- kui ka töövoogude kujundamise oskusi. Analüütikutel võib kuluda aega automatiseeritud toimingutega kohanemiseks.

Kuidas organisatsioonid kasutavad TOAR-i

TOAR pakub suurimat väärtust, kui seda rakendatakse korduvatele mahukatele turbeprotsessidele. Töövoogude tegevusstsenaariumiteks kodifitseerimise teel reageerivad meeskonnad järjepidevamalt, säilitades samas analüütikute järelevalve seal, kus see on kõige olulisem.

Automaatne reageerimine andmepüügile
Andmepüük on TOAR-turbelahenduse jaoks suurepärane kasutusmall, sest turbemeeskondadel on vaja läbi töötada ja uurida väga palju kahtlaseid meile. Reageerimisaja vähendamiseks ja leviku piiramiseks loovad organisatsioonid TOAR-i tegevusstsenaariume, mis teevad järgmist.

Teadete võtmine meiliturberiistadest ja kasutajaaruannetest.
Selliste näitajate nagu näiteks URL-ide, manuste ja saatja domeeniteabe ekstraktimine.
Nende näitajate rikastamine ohuteabe abil.
Sarnaste teadete otsimine kogu keskkonnas.
Ründemeilide automaatne karantiini panemine.
Juhtumi loomine ja kõigi toimingute dokumenteerimine.

Ohuanalüüsi rikastamine
Teadete olulisuse alusel sortimisel peavad analüütikud saama ülevaate sellest, kes on ohu taga, mida see organisatsiooni jaoks tähendab, mis tüüpi ohuga on tegu ja kuidas see töötab. Selle konteksti käsitsi kogumise asemel rikastab TOAR-i töövoog teateid automaatselt, tehes järgmist.

Sisemistele ja välistele ohuanalüüsikanalitele päringute esitamine.
Näitajate kontrollimine teadaoleva ründetaristu suhtes.
Lõpp-punkti või identiteedi konteksti kogumine.
Seotud teadete korreleerimine.

Intsidentide olulisuse alusel järjestamine ja eskaleerimine
Turbetoimingute keskused saavad tavaliselt ülekoormavalt palju teateid, millest paljud on väikse riskitasemega. Analüütikud kasutavad TOAR-i töövoogusid selleks, et töö prioriseerimist hõlbustada ja kiiremini tegutseda, tehes järgmist.

Tõsidusastme määramine ettemääratud kriteeriumide põhjal.
Intsidentide suunamine asjakohasele meeskonnale või analüütikule.
Eskaleerimise töövoogude käivitamine läviväärtuste saavutamisel.
Oleku ja lahendusaja jälgimine.

Konto turberikkele reageerimine
Võimaliku identimisteabega seotud turberikke korral reageerimisaja lühendamiseks kasutavad paljud organisatsioonid ohjamisetappide automatiseerimiseks TOAR-i. Need töövood võimaldavad järgmist.

Teate valideerimine identiteedisignaalide järgi.
Turberikkega kontode keelamine ja lähtestamine.
Aktiivsete seansside tühistamine.
Mõjutatud inimeste teavitamine.
Toimingute dokumenteerimine vastavuskontrolliks.

Nõrkusehalduse koordineerimine
Turbemeeskonnad peavad kahjutustamispüüdlusi tihti koordineerima IT- ja taristumeeskondade lõikes. TOAR-lahendus muudab selle lihtsamaks. Organisatsioonid saavad luua töövooge, mis teevad näiteks järgmist.

Nõrkusekontrolli tulemite võtmine, et kõigil meeskondadel oleks läbivaatuseks samad andmed.
Leidude prioriseerimine riskiskoori põhjal, et kõik oleksid kõige pakilisemate probleemidega kursis.
IT-teenuste halduse süsteemides piletite loomine, et meeskonnad teaksid, kes mille eest vastutab.
Kahjutustamise edenemise jälgimine, et hoida kõik meeskonnad kursis iga teate või intsidendi olekuga.
Juhtkonnale leitud nõrkuste, kahjutustamise edenemise ja üldise turbeseisundi kokkuvõttearuannete genereerimine.

Head tavad

TOAR-i tõhusa kasutamise strateegiad

Pikemas perspektiivis edu saavutavad organisatsioonid joondavad TOAR-i tehnoloogia selgelt määratud protsesside, realistlike eesmärkide ja kindla operatiivse omandiõigusega. Head tavad on näiteks järgmised.

Alustage selgetest eesmärkidest

Turbejuhid peavad kõigepealt tuvastama peamised valdkonnad, kus TOAR-lahendusel kõige suurem mõju võiks olla – näiteks mahukad intsidendid, kuhu analüütikutel kulub palju aega, kitsaskohad uurimises ja näitajad, mis vajavad parandamist (nt MTTR).

Suure mõjuga korduvate töövoogude prioriseerimine

Kõiki protsesse ei tohiks kohe automatiseerida. Kõige parem on alustada kriitilistest rutiinsetest töövoogudest, mis on hästi mõistetavad ja järjepideva otsustusprotsessiga. Näiteks andmepüügi uurimise, teadete rikastamise, kontode lukustamise, paroolide lähtestamise ja piletite loomise töövood.

Inimesepoolse järelvalvega tegevusstsenaariumide kujundamine

Kuigi TOAR-süsteemi peamine eelis on automaatika, peaks see inimeste otsuseid eelkõige toetama, mitte asendama. Hästi kujundatud tegevusstsenaariumid sisaldavad otsustamise kohti, kus läbivaatus inimese poolt on nõutav, eriti selliste toimingute puhul, mis võivad häirida äritoiminguid, nt kontode keelamine või süsteemide isoleerimine.

Integreerimise kavandamisse investeerimine

TOAR-ist on kõige rohkem kasu siis, kui see töötab hästi koos olemasolevate turbesüsteemidega (nt tuvastusriistad, kasutajahaldus, lõpp-punkti kaitse, pilvkeskkonnad ja piletisüsteemid). Etapiviisiline lähenemine aitab vähendada riske ning annab meeskondadele aega süsteemi tasakaalustamiseks ja täpsustamiseks.

Juhtimise ja omandiõiguse kehtestamine

TOAR-lahenduse selge omandiõigus on töövoogude laialivalgumise ja ebajärjekindla konfigureerimise ennetamiseks esmatähtis. Organisatsioonid peavad kindlaks määrama, kellel on õigus luua või muuta tegevusstsenaariume ning kehtestama versioonijuhtimise ja muutuste halduse protsesse.

Meeskondade pidev koolitamine

Analüütikute kaasamine ning tehnilised teadmised ja oskused on TOAR-i tõhusaks juurutamiseks esmatähtsad. Organisatsioonid peaksid pakkuma pidevat koolitust, et hoida meeskondi kursis uusimate tegevusstsenaariumite kujunduspõhimõtete, automatiseerimisloogika, eskaleerimisteede ja intsidendi dokumenteerimise standarditega.

Tulevikku vaadates

Turbetoimingute arenedes muutub TOAR staatilistest reeglitel põhinevast automaatikast kohanduvamaks iseõppimisvõimel põhinevaks töövooks. Tänapäevased TOAR-i võimalused aitavad meeskondadel reageerimist mastaapida, vähendada käsitsi tehtavat tööd ja koordineerida toiminguid aina keerukamates keskkondades. Uue põlvkonna TOAR-turbelahendusi on kujundamas mitu peamist trendi.

Loomuliku keele toega tegevusstsenaariumite loomine: genereeriv tehisintellekt muudab TOAR-i automaatika kättesaadavamaks, võimaldades analüütikutel luua, värskendada ja täpsustada loomulikku keelt kasutavaid tegevusstsenaariume. See vähendab automaatikat takistavaid tegureid, kiirendab tegevusstsenaariumide arendamist ja võimaldab turbemeeskondadel (mitte ainult automaatikaspetsialistidel) TOAR-i töövoogusid kasutusele võtta.
Pidev õpe ja kohanduv automaatika: uue põlvkonna TOAR-lahendused hõlmavad tagasisidetsükleid ja õpimehhanisme, mis valideerivad tulemusi ja kohandavad ajas reageerimist. Ühekordse automatiseerimise asemel õpib TOAR varasematest intsidentidest aina enam täpsuse ja tõhususe suurendamiseks.
Kasutusvõimalused lisaks teatejärgsele reageerimisele: TOAR ei piirdu enam ainult teatejärgse reageerimisega. Organisatsioonid rakendavad TOAR-i automaatikat turbetsükli alguses ja lõpus, toetades selliseid teadetele eelnevaid tegevusi nagu näiteks signaalide korrelatsioon ja rikastamine ning intsidendijärgseid toiminguid (nt aruandlus, kahjutustamise jälgimine ja juhtimise värskendamine). Selline suurem ulatus parandab tuvastuskvaliteeti, vähendades samas üldkulu.
TOAR autonoomsüsteemide meetmetasandina: kuna TI-agendid ja mitte-inimidentiteedid leiavad üha rohkem kasutust, on TOAR saamas keskseks korralduskihiks, mille abil autonoomseid toiminguid ohutult hallata. See hõlmab tööriistade koordineerimist, kaitsemeetmete jõustamist ja nähtavuse säilitamist keerukates omavahel ühendatud keskkondades.
Põhjalikum integreerimine turbesüsteemidega: ehkki TOAR-i silt võib varasemaga võrreldes tahaplaanile jääda, lisavad turbeteenusepakkujad üha rohkem selle funktsioone SIEM-i, XDR-i ja üldiste turbetoimingute lahendustele. See võimaldab sujuvamat korraldamist, ühist konteksti ja järjepidevat reageerimist hübriid- ja mitmikpilvkeskkondades.

Microsofti turbeteenuse TOAR-lahendus

TOAR-lahenduste kaalumisel on organisatsioonidel tähtis arvestada sellega, kuidas need lahendused toetavad turbe-eesmärke nii täna kui ka turbetoimingute keskuste arenedes. Paljud valivad lahenduseks näiteks Microsoft Sentineli, mis on pilvepõhine SIEM-lahendus TOAR-i funktsioonidega. SIEM-i ja TOAR-i kombineeritud lahenduses aitab Microsoft Sentinel turbemeeskondadel koguda ja analüüsida andmeid kasutajate, seadmete, rakenduste ja taristu lõikes, automatiseerides samas ettemääratud töövoogusid. Microsoft Sentinel on loodud töötama koos Microsoft Defender XDR-iga, et pakkuda ühtset turbetoimingute lahendust, ja selle saab ühendada mitmesuguste turberiistadega, et pakkuda täiskatvust. Microsoft Sentineli abil on turbejuhtidel tööriistad struktureeritud, mõõdetava ja vastupanuvõimelise turbetoimingute keskuse loomiseks.

Ressursid

Toode

Kiirem intsidentidele reageerimine

Kaitske oma mitmikpilvkeskkonda Microsoft Sentineliga, mis on SOAR-i funktsioonidega SIEM.

Lisateave

Turbe orkestreerimise automaatset reageeringut (SOAR) kasutatakse turbetoimingutega seotud ülesannete automatiseerimiseks ja koordineerimiseks, sh teadete triaaž, ohuteabe rikastamine, intsidentidele reageerimine ja juhtumihaldus. See aitab turbemeeskondadel töövooge standardida, vähendada käsitsi tehtavat tööd ja parandada reageerimise järjepidevust kogu turbetoimingute keskuses.
TOAR on turbe orkestreerimise automaatne reageering. See viitab sellise kategooria turbelahendustele, mis integreerivad tööriistu, automatiseerivad korduvaid ülesandeid ja juhendavad ettemääratud töövoogude kaudu intsidentidele struktureeritud viisil reageerima.
Turbekorraldus ühendab ja koordineerib mitut turberiista, et need saaksid ühes töövoos koos töötada. Turbeautomaatika on spetsiaalselt käsitsi tehtava töö vähendamiseks, täites sellistes töövoogudes automaatselt ettemääratud ülesandeid.
Turbeteabe ja sündmuste halduse (SIEM) lahendused koguvad ja analüüsivad turbeandmeid, et tuvastada võimalikke ohte. Turbe orkestreerimise automaatse reageeringu (TOAR) lahendused aitavad meeskondadel reageerida, automatiseerides rikastamist, koordineerides tööriistu ja standardides protsesse.
Turbe orkestreerimise automaatne reageering (SOAR) aitab vähendada keskmist reageerimisaega (MTTR), parandada töö tõhusust ning toetada vastavust struktureeritud dokumentatsiooni ja aruandluse kaudu. Lisaks tugevdab see koostööd ja toetab järjepidevamaid ja mõõdetavamaid turbetoiminguid.