En ciberseguridad, SOAR significa organización, automatización y respuesta de seguridad. Incluye cualquier software o herramienta que permita a las empresas recopilar y analizar datos relacionados con la ciberseguridad.
¿Qué es SOAR y cómo funciona?
Los sistemas SOAR permiten a las organizaciones usar varias herramientas y funcionalidades para aprovechar todos sus datos relacionados con la ciberseguridad para una mejor respuesta a incidentes.
Los componentes principales de un sistema SOAR son:
Organización
La organización de la seguridad acelera y mejora la respuesta a incidentes al integrar y analizar datos de diversas tecnologías y herramientas de seguridad. La organización también implica coordinar diferentes tecnologías de ciberseguridad para ayudar a las organizaciones a lidiar con incidentes complejos de ciberseguridad. Una herramienta SOAR puede, por ejemplo, recopilar datos operativos de TI de seguridad de red mediante el uso de datos de herramientas de monitoreo de red como base para las reglas del firewall.
la automatización;
Una de las funciones clave de cualquier herramienta SOAR es la automatización, que elimina la necesidad de detectar y responder manualmente a los incidentes de seguridad. Los sistemas SOAR pueden, por ejemplo, clasificar automáticamente ciertos tipos de eventos y permitir que los equipos de seguridad definan procedimientos estandarizados y automatizados, como flujos de trabajo de toma de decisiones, verificaciones de estado, aplicación y contención, y auditoría.
Respuesta
Las plataformas SOAR recopilan datos de otras herramientas de seguridad, como sistemas de información de seguridad y administración de eventos (SIEM) y fuentes de inteligencia de amenazas. Priorizan los eventos de seguridad y envían información clave sobre el incidente de seguridad al personal de seguridad.
Administración de casos
La administración de casos es un componente fundamental de cualquier plataforma SOAR. Las capacidades de administración de casos les brindan a los analistas de seguridad acceso a registros de casos individuales para que puedan analizar e interactuar dinámicamente con cualquier dato relacionado con un incidente determinado y usar ese análisis para mejorar e iterar sus procesos de respuesta de seguridad.
Tablero
El panel de una herramienta SOAR proporciona una descripción general de todo lo que sucede en relación con los números 1, 2, 3, 4 y superiores, es decir, todos los datos y actividades relacionados con la seguridad, incluidos los eventos notables y su gravedad, los manuales de estrategias, las conexiones con otras herramientas de seguridad, las cargas de trabajo e incluso un resumen del retorno de la inversión de las actividades automatizadas. Por lo general, puede filtrar un panel SOAR por período de tiempo, fuente de datos o usuario. Los widgets se pueden activar o desactivar, o reorganizar según sus especificaciones. En resumen, es su núcleo central para monitorear todo lo que hace su sistema SOAR y qué tan bien lo hace.
¿Cómo identifica amenazas una solución SOAR?
Los sistemas SOAR exploran y recopilan datos de diversas fuentes, y luego usan una combinación de aprendizaje humano y automático para analizar estos datos para detectar posibles amenazas y priorizar los planes y las acciones de respuesta a incidentes. Por lo general, las empresas automatizan el sistema SOAR para que pueda soportar la ciberseguridad de la manera más eficiente.
Fuentes de datos SOAR
Los sistemas SOAR extraen y analizan datos de varias fuentes diferentes, entre ellas:
- Escáneres de vulnerabilidad, que son programas informáticos diseñados para evaluar las debilidades de seguridad en computadoras, redes o aplicaciones.
- Software de protección de puntos finales, que protege los puntos finales de una organización, como servidores y computadoras personales, contra infecciones de malware, ciberataques y otras amenazas.
- Cortafuegos, que son sistemas de seguridad de red que monitorean y controlan el tráfico de red entrante y saliente basado en reglas de seguridad predeterminadas.
- Sistemas de detección de intrusos y prevención de intrusos, que son herramientas de seguridad de red que monitorean continuamente las redes para detectar actividad maliciosa y toman medidas para evitarla.
- Plataformas de administración de eventos e información de seguridad (SIEM, Security Information and Event Management), que agregan datos de registro, alertas de seguridad y eventos en una plataforma centralizada para realizar análisis en tiempo real para monitoreo de seguridad y alertas.
- Fuentes de inteligencia de amenazas externas, que incluyen cualquier dato de amenazas procesable recopilado de proveedores externos para mejorar la respuesta y la concientización sobre amenazas cibernéticas.
Principales beneficios de SOAR
Los sistemas SOAR permiten una respuesta a incidentes más eficaz y eficiente a través de dos beneficios principales:
- Respuesta a incidentes más rápida: SOAR ayuda a las empresas a reducir el tiempo medio de detección (MTTD) y el tiempo medio de restauración (MTTR) al reducir la cantidad de tiempo que tardan en calificarse y corregirse las alertas de seguridad de meses o semanas a minutos. SOAR también permite la automatización de la respuesta a incidentes a través de procedimientos conocidos como manuales de estrategias. Las acciones de esta automatización incluyen bloquear las direcciones IP en un firewall o sistema IDS, suspender las cuentas de usuario y poner en cuarentena los puntos finales infectados de una red.
- Mejor inteligencia de ciberseguridad: Debido a que los sistemas SOAR pueden agregar y analizar datos de tantas fuentes diferentes, mejoran el contexto para todo tipo de amenazas de ciberseguridad y reducen las falsas alarmas para ayudar a los equipos de seguridad a trabajar más rápido que más duro.
SOAR vs. SIEM
Tanto SOAR como SIEM se ocupan de los datos relacionados con las amenazas de seguridad y permiten respuestas a incidentes de seguridad mucho mejores.
Sin embargo, SIEM agrega y correlaciona datos de varios sistemas de seguridad para generar alertas, mientras que SOAR actúa como el motor de corrección y respuesta a esas alertas.
Para usar una analogía de automóvil, SIEM es el combustible del motor del automóvil y el motor en sí es SOAR porque usa el combustible para proporcionar el resultado y la acción, y para que todo funcione automáticamente.
Qué buscar en una herramienta SOAR
Cualquiera sea la herramienta SOAR que obtenga, debería poder:
- Ingiera y analice datos y alertas de varios sistemas de seguridad.
- Diseñe y automatice flujos de trabajo que ayuden a las empresas a identificar, priorizar, investigar y responder a las amenazas y alertas de ciberseguridad.
- Integre fácilmente con otras herramientas para mejorar las operaciones.
- Realice un análisis posterior al incidente para mejorar los procesos de respuesta y la eficiencia de la respuesta a incidentes.
- Automatice la mayoría de las operaciones de seguridad para eliminar redundancias y permitir que los equipos de seguridad se concentren en las tareas que requieren más participación humana.
Por supuesto, hay más silbidos que pueden formar parte de un sistema SOAR, pero considere la lista anterior de elementos imprescindibles para cualquier herramienta SOAR.
Ejemplo de SOAR del mundo real: Respuesta de phishing
Los correos electrónicos de suplantación de identidad son una amenaza importante no solo para las personas, sino también para los equipos de seguridad empresarial, ya que algunos de ellos están diseñados lo suficientemente bien como para realizar filtraciones de datos de alto perfil. Con un sistema SOAR implementado, las empresas no solo pueden evitar los ataques de phishing, sino que también evitan que ocurran en el futuro.
Una herramienta SOAR examina los correos electrónicos maliciosos sospechosos extrayendo y analizando diversos artefactos, incluida la información de encabezados, direcciones de correo electrónico, URL y archivos adjuntos. Luego, clasifica la amenaza para determinar si es una amenaza en absoluto y, de ser así, cuán grave es.
Si la herramienta SOAR determina que el correo electrónico es malicioso, hará lo siguiente:
- Bloquearlo y cualquier otra instancia en otros buzones.
- Evite que se ejecuten los ejecutables relacionados con el correo electrónico.
- Bloquee las direcciones IP o URL de origen.
- Ponga en cuarentena la estación de trabajo del usuario afectado si es necesario.
Por supuesto, los sistemas SOAR no pueden garantizar que atraparán y bloquearán cada correo electrónico de phishing. Si se logra, las funciones de administración de casos permiten que los equipos de seguridad investiguen lo que sucedió y por qué, y usen ese conocimiento para mejorar la detección de amenazas de sus sistemas SOAR en el futuro.
ARRIBA: El resultado final
Los sistemas SOAR reducen el tiempo de investigación y respuesta de horas a minutos. También reducen en gran medida el riesgo organizacional al usar solo los datos de amenazas de la más alta calidad para optimizar las operaciones de seguridad. En última instancia, permiten una asignación más estratégica de analistas humanos e inteligencia humana, lo que permite a las empresas maximizar sus recursos internos y minimizar las amenazas externas.
