Kaksi ihmistä katsoo tablettia, ja toinen osoittaa näyttöä toimistoympäristössä.

Mikä SOAR on?

Tutustu siihen, mitä suojauksen järjestäminen, automatisointi ja reagointi (SOAR) on, miksi se on tärkeää ja miten se auttaa tehostamaan kyberturvatoimintoja.

Tutustu Microsoft Sentineliin

SOAR on suojaustoimintojen ratkaisu, joka auttaa tietoturvatiimejä tutkimaan uhkia ja torjumaan niitä laajassa mittakaavassa. Käyttämällä käsikirjoja työnkulkujen automatisoinnissa tiimit voivat vähentää manuaalista työtä, parantaa yhdenmukaisuutta ja reagoida nopeammin kaikissa suojaustyökaluissa.

SOAR auttaa suojaustoimintokeskuksia yhdenmukaistamaan ja skaalaamaan tapausten käsittelyä, kun hälytysten määrä kasvaa.
Automatisoidut työnkulut vähentävät analyytikoiden työmäärää ja nopeuttavat tutkimista, eristämistä ja korjaamista.
Kun SOAR koordinoi toimintoja eri tietoturvatyökaluissa, se parantaa yhdenmukaisuutta, näkyvyyttä ja toiminnan tehokkuutta.
Nykyaikaiset SOAR-ominaisuudet on yhä useammin sisällytetty suojaustiedot ja tapahtumien hallinta (SIEM) -ratkaisuihin, ja niitä on täydennetty tekoälypohjaisilla työnkuluilla.

SOAR selitettynä

Tietoturvatiimit käyttävät monia työkaluja uhkien tunnistamiseen ja niihin vastaamiseen. Ilman orkestrointia analyytikoiden on vaihdettava järjestelmien välillä manuaalisesti, kerättävä taustatietoja ja tehtävä päätöksiä paineen alla, mikä hidastaa vasteaikoja, lisää hälytysväsymystä ja johtaa epäyhtenäisiin tuloksiin.

SOAR auttaa ratkaisemaan näitä haasteita määrittämällä vasteprosessit toistettaviksi työnkuluiksi. Käsikirjojen avulla tiimit voivat rikastaa hälytyksiä automaattisesti, koordinoida toimia eri työkaluissa ja ohjata analyytikoita yhdenmukaisten tutkinta- ja vastevaiheiden läpi ilman, että ihmisen valvonta poistuu.

Näin se toimii

Kolme SOAR:n ydinkyvykkyyttä auttaa SOC-tiimejä toimimaan yhdessä tehokkaammin ja suojaamaan organisaatioitaan: tietoturvatoimintojen orkestrointi, tietoturvan automatisointi ja tapausten käsittely.

Tietoturvan orkestrointi
Tietoturvaorkestrointi on koordinointikerros. Se yhdistää olemassa olevia teknologioita, kuten SIEM, päätepisteiden tunnistus ja käsittely (EDR), laajennettu havaitseminen ja reagointi (XDR), käyttäjätietojen suojaus, sähköpostin suojaus, palomuurit ja uhkatiedusteluratkaisut, jotta uhkien havaitseminen, tutkinta ja vaste voidaan keskittää.

Jos esimerkiksi SIEM-ratkaisu tunnistaa mahdollisen tilin vaarantumisen, SOAR-ratkaisu voisi:

⁠Kerätä automaattisesti taustatietoja käyttäjätietojen hallintajärjestelmästä.
⁠Verrata kirjautumisyritystä uhkatietolähteisiin riskin arvioimiseksi.
⁠Tarkistaa käyttäjän toiminnan päätelaiteturvallisuuden työkaluissa mahdollisten vaarantumisen tai sivuttaisliikkeen merkkien varalta.
Hakea viimeaikaisen kirjautumishistorian käyttöoikeuslokeista.
⁠Koordinoida vastauksen eri järjestelmissä uhan rajaamiseksi.

Organisaatioiden, joilla ei ole SOAR-ratkaisua, pitäisi tehdä jokainen näistä vaiheista manuaalisesti. Koordinoinnin avulla tiimit voivat luoda työnkulkuja, joissa tietoa siirretään järjestelmien välillä jäsennellysti.

Tietoturvan automatisointi
Tietoturvan automatisointi vähentää toistuviin ja aikakriittisiin tehtäviin liittyvää manuaalista työmäärää. SOAR-ratkaisussa tiimit voivat luoda työnkulkuja, joissa kuvataan vaiheittaiset toimet tietyntyyppisiä tapauksia varten, kuten:

Hälytysten rikastaminen uhkatiedoilla.
⁠Taustatietojen keräämistä päätelaitteista tai identiteettijärjestelmistä.
Pahantahtoisten IP-osoitteiden estäminen.
Vaarantuneiden tilien poistaminen käytöstä.
Sidosryhmille ilmoittaminen ja dokumentointitoiminnot.

Kun nämä vaiheet automatisoidaan, tietoturvatiimit voivat vastata nopeammin ja yhdenmukaisemmin, erityisesti suuren volyymin tapahtumien aikana.

Tapausten käsittely
Koska SOAR-tietoturva kokoaa ja analysoi tietoja useista ratkaisuista, se tarjoaa keskitetyn hallintanäkymän tapausten käsittelyyn. Näin hälytyksiä on helpompi korreloida eri järjestelmien välillä ja tutkia eri osa-alueita koskevaa uhkaa.

Organisaatiot käyttävät SOAR-ratkaisuja myös tapausten rajaamisen, korjaamisen ja dokumentoinnin yhdenmukaistamiseen. Sen sijaan, että luotettaisiin vain yksittäisen analyytikon kokemukseen, tiimit noudattavat ennalta määritettyjä työnkulkuja, jotka ohjaavat tapausten käsittelyä. Tämä auttaa organisaatioita vahvistamaan hallintaa, selkeyttämään vastuuta ja saamaan ennakoitavampia tuloksia.

SOAR:n yleiset ominaisuudet

Tietoturvatoimintojen orkestroinnin, automaation ja tapausten käsittelyn ominaisuuksien lisäksi useimmat SOAR-ratkaisut sisältävät joukon muita keskeisiä ominaisuuksia.

Käsikirjat
Käsikirjat ovat ennalta määritettyjä työnkulkuja, joissa kerrotaan, miten tietyn tyyppisiä tapauksia tulee käsitellä. Ne muuntavat organisaation osaamisen jäsennellyiksi ja toistettaviksi prosesseiksi, joten vuorosta tai tiimistä riippumatta toimintatapa pysyy yhdenmukaisena. Käsikirja voi määrittää, miten voit tutkia tietojenkalasteluhälytystä, vastata epäiltyyn tunnistetietojen vaarantumiseen tai eristää haittaohjelmatartunnan.

Tapausten hallinta
Monissa SOAR-ratkaisuissa on sisäänrakennetut tapaus- tai asiakashallinnan ominaisuudet, joiden avulla tiimit voivat seurata tutkintoja alkuperäisestä hälytyksestä aina ratkaisuun asti. Nämä ominaisuudet auttavat tehostamaan tapausten hallintaa, koska ne tarjoavat keskitetyn paikan toimien koordinointiin ja näkyvyyden ylläpitämiseen koko prosessin ajan.

Raportointi ja analytiikka
SOAR-tietoturva tuottaa raportteja ja koontinäyttöjä, jotka antavat tietoa toiminnan tehokkuudesta. Kyberturvallisuuden analytiikka sisältää usein keskimääräisen havaitsemisajan (MTTD), keskimääräisen vasteajan (MTTR), hälytysvolyymit, käsikirjojen käytön ja ratkaisuprosentit.

Syitä ottaa SOAR käyttöön

Kun organisaatiot ottavat käyttöön tietoturvatoimintojen orkestroinnin, automaation ja vasteen ominaisuuksia, ne näkevät usein mitattavia parannuksia tehokkuudessa ja yhdenmukaisuudessa. Samalla käyttöönotto edellyttää huolellista suunnittelua ja yhteensovittamista.

SOAR-teknologian hyödyt

Nopeampi tapausten käsittely ja uhkien rajaaminen
Kun rikastaminen, priorisointi ja vastaustoiminnot automatisoidaan, SOAR-ratkaisut vähentävät viiveitä havaitsemisen ja korjaamisen välillä. Tämä auttaa lyhentämään vasteaikoja ja rajoittaa tapausten vaikutusta.

Parannettu toiminnallinen tehokkuus
Organisaatiot käyttävät automaatiomahdollisuuksia monien toistuvien tehtävien hoitamiseen, jolloin analyytikot voivat keskittyä arvokkaampiin tutkimuksiin.

Vahvempi vaatimustenmukaisuus ja valvontavalmius
Jäsennellyt työnkulut ja automaattinen dokumentointi tukevat sääntelyvaatimuksia ja sisäisiä hallintaprosesseja luomalla selkeät tiedot siitä, miten organisaatio käsittelee tapauksia.

Parannettu yhteistyö
Keskitetty tapausten hallinta ja integroidut työnkulut tarjoavat jaetun operatiivisen näkymän tietoturvalle, IT:lle ja muille sidosryhmille.

Parannettu päätöksenteko
Suorituskykymittarit ja trenditiedot auttavat johtoa tunnistamaan pullonkauloja, hiomaan toimintamalleja ja kohdentamaan resursseja tehokkaammin.

SOAR:n käyttöönoton haasteet

Suunnittelu- ja valmistelutyö etukäteen
Tehokas SOAR edellyttää selkeästi määriteltyjä prosesseja ja hyvin suunniteltuja toimintamalleja. Epäselvien tai epäjohdonmukaisten työnkulkujen automatisointi voi lisätä kitkaa tehokkuuden sijaan.

Liian pitkälle menevän automatisoinnin riski
Ilman kunnollisia rajauksia automaatio voi käynnistää häiritseviä toimia (kuten tilien poistamisen käytöstä tai järjestelmien eristämisen) väärään aikaan, joten ihmisen valvonta on välttämätöntä.

Toiminnallinen omistajuus ja hallinta
SOAR-työnkulkuja on ylläpidettävä, versioitava ja parannettava jatkuvasti. Ilman selvää omistajuutta toimintamallit voivat vanhentua tai muuttua liian monimutkaisiksi.

Taitojen ja muutosten hallinta
Tiimit tarvitsevat sekä tietoturvaosaamista että työnkulkujen suunnittelutaitoja. Analyytikoiden sopeutuminen automaatioavusteiseen toimintoon voi kestää jonkin aikaa.

Näin organisaatiot käyttävät SOAR:ää

SOAR tuottaa eniten arvoa, kun sitä käytetään toistettaviin, suurivolyymisiin tietoturvaprosesseihin. Kun työnkulut määritellään toimintamalleiksi, tiimit voivat vastata johdonmukaisemmin ja samalla säilyttää analyytikoiden valvonnan siellä, missä sillä on eniten merkitystä.

Automatisoitu vastaus tietojen kalasteluun
Tietojenkalastelu on hyvä käyttökohde SOAR-tietoturvalle, koska tietoturvatiimit saavat valtavasti tutkittavia epäilyttäviä sähköposteja. Vastausaikojen lyhentämiseksi ja sivuttaisen leviämisen rajoittamiseksi organisaatiot luovat SOAR-toimintamalleja, jotka:

Tuovat hälytyksiä sähköpostin suojaustyökaluista tai käyttäjäraporteista.
Poimivat tunnisteita, kuten URL-osoitteita, liitteitä tai lähettäjien verkkotunnuksia.
Rikastavat nämä indikaattorit uhkatiedoilla.
Tarkistavat, onko ympäristössä samanlaisia viestejä.
Siirtävät haitalliset viestit automaattisesti karanteeniin.
Luovat tapauksen ja dokumentoivat kaikki toimet.

Uhkatietojen rikastaminen
Kun hälytyksiä käsitellään, analyytikoiden täytyy ymmärtää, kuka on uhkan takana, mitä se tarkoittaa organisaatiolle, minkä tyyppinen uhka on kyseessä ja miten se toimii. Sen sijaan että nämä tiedot kerättäisiin käsin, SOAR-työnkulku rikastaa hälytyksiä automaattisesti:

Hakemalla tietoja sisäisistä ja ulkoisista uhkatiedon lähteistä.
Tarkistamalla tunnisteet tunnettua haitallista infrastruktuuria vasten.
Kokoamalla päätelaitteen tai identiteetin taustatietoja.
Yhdistämällä liittyviä hälytyksiä.

Tapahtumien priorisointi ja eskalointi
SOC:t kuormittuvat yleensä hälytyksistä, joista monet ovat matalan tason riskejä. Jotta työn priorisointi olisi helpompaa – ja toiminta nopeampaa – analyytikot käyttävät SOAR-työnkulkuja seuraaviin tarkoituksiin:

Määrittämään vakavuustasot automaattisesti ennalta määritettyjen ehtojen perusteella.
⁠Ohjaamaan tapaukset oikealle tiimille tai analyytikolle.
⁠Käynnistämään eskalointityönkulut, kun kynnysarvot täyttyvät.
Seuraamaan tilaa ja ratkaisuaikoja.

Tilin vaarantumiseen vastaaminen
Kun on mahdollista, että tunnistetiedot ovat vaarantuneet, monet organisaatiot käyttävät SOAR-ratkaisuja eristystoimien automatisointiin, jotta vasteaika lyhenisi. Nämä työnkulut:

Vahvistavat hälytyksen identiteettisignaalien avulla.
Poistavat vaarantuneet tilit käytöstä tai nollaavat ne.
Peruuttavat aktiiviset istunnot.
Ilmoittavat asianomaisille ihmisille.
Dokumentoivat toimet vaatimustenmukaisuuden tarkastelua varten.

Haavoittuvuuksien hallinnan koordinointi
Tietoturvatiimien täytyy usein sovittaa korjaustoimet yhteen IT- ja infrastruktuuritiimien kanssa. SOAR-ratkaisu tekee siitä helpompaa. Organisaatiot voivat rakentaa työnkulkuja, jotka:

Tuovat haavoittuvuusskannausten tulokset, jotta kaikki tiimit tarkastelevat samoja tietoja.
Priorisoivat löydökset riskipisteiden perusteella, jotta kaikki keskittyvät kiireellisimpiin asioihin.
⁠Luovat palvelupyyntöjä Tietotekniikkapalvelujen hallintajärjestelmiin, jotta tiimit tietävät, kuka vastaa mistäkin.
Seuraavat korjaustoimien etenemistä, jotta kaikki tiimit pysyvät ajan tasalla kunkin hälytyksen tai tapauksen tilasta.
⁠Luovat johdolle raportteja, jotka kokoavat yhteen haavoittuvuushavainnot, korjaustoimien etenemisen ja yleisen tietoturvatason.

Parhaat käytännöt

Strategioita SOAR:n tehokkaaseen käyttöön

Organisaatiot, jotka onnistuvat pitkäjänteisesti, sovittavat SOAR-teknologian yhteen hyvin määriteltyjen prosessien, realististen tavoitteiden ja vahvan operatiivisen omistajuuden kanssa. Parhaita käytäntöjä ovat esimerkiksi seuraavat:

Aloita selkeillä tavoitteilla

Tietoturvan johtajien kannattaa aloittaa tunnistamalla keskeiset alueet, joilla SOAR-ratkaisulla voi olla suurin vaikutus, kuten paljon aikaa vievät suurivolyymiset tapaukset, tutkinnan pullonkaulat ja mittarit, joita pitää parantaa, kuten MTTR.

Priorisoi eniten vaikuttavat ja toistuvat työnkulut

Kaikkia prosesseja ei pitäisi automatisoida heti. On parasta aloittaa kriittisistä, rutiiniluonteisista työnkuluista, jotka tunnetaan hyvin ja joissa päätöksenteko etenee johdonmukaisesti. Sopivia kohteita ovat esimerkiksi tietojenkalastelun tutkinta, hälytysten rikastaminen, tilien lukitukset, salasanan nollaukset ja palvelupyyntöjen luontityönkulut.

Suunnittele käsikirjat niin, että ihminen valvoo niitä

Vaikka automaatio on SOAR-järjestelmän keskeinen hyöty, sen pitäisi aina tukea ihmisen harkintaa, ei korvata sitä. Hyvin suunnitelluissa toimintamalleissa on päätöspisteitä, joissa ihmisen tarkistus on tarpeen, erityisesti silloin, kun toimet voivat häiritä liiketoimintaa, kuten tilien poistaminen käytöstä tai järjestelmien eristäminen.

Sijoita integraatiosuunnitteluun

SOAR tuottaa eniten arvoa, kun se toimii hyvin yhdessä olemassa olevien turvallisuusjärjestelmien kanssa, kuten tunnistustyökalujen, identiteetinhallinnan, päätepistesuojauksen, pilviympäristöjen ja tikettijärjestelmien kanssa. Vaiheittainen eteneminen auttaa pienentämään riskiä ja antaa tiimeille aikaa vakauttaa järjestelmä ja hienosäätää sitä.

Määritä hallinta ja omistajuus

SOAR-ratkaisun selkeä omistajuus on välttämätöntä, jotta työnkulut eivät paisu hallitsemattomasti ja määritykset pysyvät yhdenmukaisina. Organisaatioiden kannattaa määrittää, kenellä on valtuudet luoda tai muokata toimintamalleja, sekä ottaa käyttöön versionhallinta ja muutoksenhallinnan prosessit.

Kouluta tiimejä jatkuvasti

Analyytikoiden sitoutuminen ja tekninen osaaminen ovat ratkaisevan tärkeitä SOAR-toteutuksen onnistumiselle. Organisaatioiden kannattaa tarjota jatkuvaa koulutusta, jotta Teams pysyy ajan tasalla uusimmista toimintamallien suunnitteluperiaatteista, automaatiologiikasta, eskalointipoluista ja tapausdokumentoinnin käytännöistä.

Katse eteenpäin

Kun tietoturvatoiminnot kehittyvät, SOAR siirtyy staattisesta, sääntöpohjaisesta automaatiosta kohti mukautuvampia, älykkyyteen perustuvia työnkulkuja. Nykyaikaiset SOAR-ominaisuudet keskittyvät auttamaan tiimejä skaalaamaan reagointia, vähentämään manuaalista työtä ja koordinoimaan toimia yhä monimutkaisemmissa ympäristöissä. Seuraavat keskeiset trendit muovaavat SOAR-turvallisuuden seuraavaa sukupolvea:

Luonnollisen kielen tukema toimintamallien luonti: Generatiivinen tekoäly tekee SOAR-automaatioista helpommin lähestyttäviä, koska se antaa analyytikoille mahdollisuuden luoda, päivittää ja hienosäätää toimintamalleja luonnollisella kielellä. Tämä madaltaa automaation käyttöönoton kynnystä, nopeuttaa toimintamallien kehitystä ja antaa useammille turvallisuustiimeille – ei vain automaatioasiantuntijoille – mahdollisuuden ottaa SOAR-työnkulut käyttöön.
⁠Jatkuva oppiminen ja mukautuva automaatio: Seuraavan sukupolven SOAR-ratkaisut hyödyntävät palautesilmukoita ja oppimismekanismeja, jotka varmistavat tulokset ja mukauttavat vastauksia ajan myötä. SOAR oppii yhä enemmän aiemmista tapauksista parantaakseen tarkkuutta ja tehokkuutta sen sijaan, että se tekisi kertaluonteisia automaatioita.
Laajeneminen hälytysten jälkeisen vasteen ulkopuolelle: SOAR ei enää rajoitu hälytysten jälkeiseen vasteeseen. Organisaatiot hyödyntävät SOAR-automatisointia tietoturvan elinkaaren aiemmissa ja myöhemmissä vaiheissa. Se tukee hälytystä edeltäviä toimia, kuten signaalien korrelointia ja rikastamista, sekä tapauksen jälkeisiä tehtäviä, kuten raportointia, korjaustoimien seurantaa ja hallintojen päivityksiä. Laajempi rooli parantaa havaitsemisen laatua ja vähentää samalla operatiivista kuormaa.
⁠SOAR hallintatasona autonomisille järjestelmille: Kun agenttinen tekoäly ja digitaaliset käyttäjätiedot yleistyvät, SOAR nousee keskitetyksi orkestrointikerrokseksi, joka hallitsee autonomisia toimia turvallisesti. Tähän kuuluu työkalujen koordinointi, rajoitusten valvonta ja näkyvyyden ylläpitäminen monimutkaisissa, toisiinsa kytkeytyneissä ympäristöissä.
Syvempi integrointi eri tietoturvajärjestelmissä: Vaikka SOAR-nimitys voi jäädä vähemmän näkyviin, tietoturvatoimittajat upottavat yhä useammin sen ominaisuuksia SIEM:ään, XDR:ään ja laajempiin tietoturvaoperaatioiden ratkaisuihin. Se tarjoaa sujuvampaa orkestrointia, jaettua kontekstia ja yhdenmukaisen vasteen hybridi- ja monipilviympäristöissä.

Microsoft Security SOAR-ratkaisu

Kun organisaatiot arvioivat SOAR-ratkaisuja, on tärkeää pohtia, miten se tukee tietoturvatavoitteita nyt ja SOC-ratkaisujen kehittyessä. Monet käyttävät ratkaisuja, kuten Microsoft Sentinel, joka on pilvipohjainen SIEM-ratkaisu, joka sisältää SOAR-ominaisuuksia. Yhdistämällä SIEM:n ja SOAR:n yhteen ratkaisuun Microsoft Sentinel auttaa tietoturvatiimejä keräämään ja analysoimaan tietoja käyttäjistä, laitteista, sovelluksista ja infrastruktuurista sekä automatisoimaan ennalta määritettyjä työnkulkuja. Microsoft Sentinel on myös suunniteltu toimimaan Microsoft Defender XDR:n kanssa tarjotakseen yhtenäisen suojaustoimintoratkaisun, ja se voidaan yhdistää erilaisiin suojaustyökaluihin kattavan kattavuuden tarjoamiseksi. Microsoft Sentinelin avulla tietoturvajohtajat saavat työkalut jäsennellyn, mitattavan ja joustavan SOC:n rakentamiseen.

Resurssit

Mies työskentelemässä kannettavalla tietokoneella.

Tuote

Reagoi tapauksiin nopeammin

Suojaa monipilviympäristösi Microsoft Sentinelin avulla. Se on SIEM-ratkaisu, jossa on sisäänrakennetut SOAR-ominaisuudet.

Lue lisää

Suojauksen järjestämistä, automatisointia ja reagointia (SOAR) käytetään tietoturvaoperaatioiden tehtävien, kuten hälytysten lajittelun, uhkatiedustelun rikastamisen, tapausten käsittelyn ja tapaushallinnan, koordinointiin ja automatisointiin. Se auttaa tietoturvatiimejä yhdenmukaistamaan työnkulut, vähentämään manuaalista työtä ja parantamaan vasteen yhdenmukaisuutta koko tietoturvaoperaatioiden keskuksessa.
SOAR tarkoittaa suojauksen järjestämistä, automatisointia ja reagointia. Se tarkoittaa tietoturvaratkaisujen luokkaa, joka integroi työkaluja, automatisoi toistuvia tehtäviä ja ohjaa jäsenneltyä tapausvastausta ennalta määritettyjen työnkulkujen kautta.
Tietoturvan orkestrointi yhdistää ja koordinoi useita tietoturvatyökaluja, jotta ne voivat toimia osana yhtenäistä työnkulkua. Tietoturvan automaatio keskittyy erityisesti manuaalisen työn vähentämiseen suorittamalla ennalta määritetyt tehtävät automaattisesti näiden työnkulkujen sisällä.
Suojaustiedot ja tapahtumien hallinta (SIEM) -ratkaisut keräävät ja analysoivat tietoturvatietoja mahdollisten uhkien havaitsemiseksi. Suojauksen järjestäminen, automatisointi ja reagointi (SOAR) -ratkaisut auttavat tiimejä vastaamaan automatisoimalla rikastamisen, koordinoimalla työkaluja ja yhdenmukaistamalla prosesseja.
Suojauksen järjestäminen, automatisointi ja reagointi (SOAR) auttaa lyhentämään vasteaikaa, parantamaan toiminnan tehokkuutta ja tukemaan vaatimustenmukaisuutta jäsennellyn dokumentoinnin ja raportoinnin avulla. Se vahvistaa myös yhteistyötä ja edistää yhdenmukaisempia, mitattavia tietoturvaoperaatioita.