草庐IT

SOAR在企业安全运营工作中的六个典型应用

安全牛 2023-03-28 原文
由于企业的数字资产攻击面不断扩大，以及数字化业务资产价值不断提升，企业面临的攻击威胁也在不断增加。为了应对挑战，企业需要进一步增强安全运营中心的自动化水平，提高消除安全威胁的速度和敏捷性，同时减轻运营人员的工作压力。安全编排与自动化响应（SOAR）正是帮助企业实现安全运营自动化的代表性技术之一。

SOAR的价值与典型应用

大量应用实践表明，SOAR可以帮助企业安全运营中心实现以下方面的能力优化：

  • 安全能力编排 
SOAR可以帮助安全运营中心实现各种异构安全工具的衔接和工作协同，从而提高获取威胁、运营监控和识别事件的效率。

  • 自动化
SOAR可以通过预定义的参数自动触发工作流程、任务和警报，帮助企业安全运营中心实现更积极的主动安全防护模式。

  • 事件响应
SOAR可以加快企业安全运营中心对中、低风险事件进行通用性和针对性的处置响应，并通过统一视图方式来访问、查询和共享威胁情报，为安全分析师提供支持。

从以上三点可以看出，SOAR的应用价值在于，可以自动化协同多个安全工具共同处理常规性威胁信息和事件，使安全分析师能够专注于处理更复杂的威胁，并实现对威胁情报的全生命周期支持。如果实施得当，SOAR可以成为助力企业进一步夯实安全防护体系的基础。

但在最初接触或使用SOAR产品时，很多企业都会对SOAR的真实效果产生疑虑。因此，SOAR产品的应用可以从一些容易落地的应用场景开始，在使用的过程中逐渐打磨产品能力，增强使用信心。以下，研究人员总结了SOAR在企业安全运营中的6个典型应用：

1、警报信息处理

SOAR平台每天都会收集到成千上万个网络攻击指标（IOC）。这些指标是从内外威胁情报源、恶意软件分析工具、XDR系统、SIEM系统、电子邮件、RSS新闻源、监管机构及其他数据库收集而来。通过SOAR平台的协调、汇总和发掘，可以从海量的警报信息中检测出真正可疑的IOC。

2、攻击事件管理

在企业体系化安全能力构建中，会使用多种安全工具来检测潜在的安全威胁。因此，安全分析师可能需要花费大量时间来分析与同一威胁相关的不同监测数据。SOAR可以将来自多个相关事件、性质相同的数据汇总起来。这使得安全运营人员能够识别出最关键的威胁，从而快速处理威胁，缩短威胁检测和响应的总体平均时间。

3、安全漏洞管理

在传统的安全运营模式中，安全分析师需要人工管理和清点安全漏洞。但是如果通过SOAR技术，几项简单的策略就可以实现漏洞管理自动化，快速处理大量漏洞，并实现漏洞监控和快捷响应。具体来说，SOAR可以跨多个安全工具将威胁数据关联起来，以评估漏洞利用风险，并相应地确定漏洞威胁的优先级。

4、事件响应分析强化

SOAR平台可以利用多个数据源或查询不同的威胁情报工具来获取威胁上下文，从而加强IOC的事件响应分析。这使得SOC分析师能够更准确高效地分析、验证、分类和响应。在这种应用场景下，SOAR可以帮助安全分析师大大节省事件响应中必须的关联性数据检索时间，从而可以更快速地获取大量的IP、URL和散列信息以检查恶意威胁，又不影响所需的查询深度。

5、威胁搜寻

SOAR平台还可以作为一种主动搜寻威胁的机制。对安全分析师来说，搜寻威胁是一项至关重要的任务，但考虑到威胁范围不断扩大，这项任务很耗费时间。SOAR可以添加用于持续分析的数据集，从而支持大规模数据分析的环境。此外，SOAR可以广泛地探测恶意软件或可疑域名，并在必要时结合分析师经验共同（human-in-the-loop）决策，帮助扩大威胁搜寻范围。

6、安全事件响应

目前主流的SOAR方案已经可以有效处理一些常见安全威胁，并准确做出补救和响应，比如网络钓鱼、恶意软件、拒绝服务（DoS）攻击、网站损毁和勒索软件。

根据安全威胁的类型，自动化响应有以下常见形式：

  • 将指标自动添加到监视列表；
  • 自动阻止恶意指标；
  • 自动隔离指标或受攻击端点；
  • 给基础设施硬件/软件自动打补丁；
  • 自动生成工单；
  • 自动阻止可疑的电子邮件或IP地址；
  • 自动删除来自其他邮箱的可疑邮件；
  • 自动终止或控制用户账户；
  • 自动触发防病毒扫描或安全合规检查；
  • 自动提醒特定的安全分析师、供应商、合作伙伴或客户。

SOAR落地应用的挑战

尽管SOAR技术有巨大的发展前景，但其理念能否真正兑现仍然充满挑战。这与企业现有的安全运营能力和水平是息息相关的。研究人员发现，SOAR在应用落地中面对的主要挑战包括：

挑战一

安全运营水平还没有达到使用SOAR的条件

很多企业组织的安全运营现状是，通过IP地址实现对安全设备和终端的管理，通过对管理员和用户的账户对应用进行管理，但安全设备及账户对于业务应用来说，是多对一或多对多的关系。当安全事件发生以后，必需要依靠对系统和资产熟悉的人员进行问题排查。这对于自动化设备来说，应用会存在非常大的挑战。

挑战二

SOAR产品使用需要多部门协同

SOAR的应用目标是人员、数据、流程、工具的高效协同。但分析企业目前现状，业务、信息化、安全运营都是独立的部门，有相应的职责划分及领导者，实现跨部门的协同工作不仅仅是简单的技术问题，还是管理上的改变。想要打通业务与安全，需要从顶层设计开始改变组织架构，而现阶段还没有强有力的因素对此进行推动。

挑战三

企业没有清晰的事件处置流程

SOAR将事件的处置过程通过剧本进行编排，如果用户本身对于自身的事件处置流程都不甚清晰，那也就无法使用自动化工具提高效率。只有那些组织管理能力较强，具备正式、成熟安全响应流程的企业，才能够针对通用威胁建立标准剧本，达到使用SOAR产品的条件。 

挑战四

SOAR产品难以实现标品化

SOAR产品对比其他的安全产品，如防火墙、IDS等，是不能即插即用的，因为每个用户部署的安全设备不同、事件响应的流程不同，需根据用户实际情况接入数据源、设备，以及更具应用需求和场景修改优化剧本。

参考链接：​​https://www.techtarget.com/searchsecurity/tip/Top-6-SOAR-uses-cases-to-implement-in-enterprise-SOCs​​

营工全运data-idSOARdata安全应用安全$SOAR防火墙

有关SOAR在企业安全运营工作中的六个典型应用的更多相关文章

  1. ruby - 如何从 ruby​​ 中的字符串运行任意对象方法？ - 2

    总的来说，我对ruby​​还比较陌生，我正在为我正在创建的对象编写一些rspec测试用例。许多测试用例都非常基础，我只是想确保正确填充和返回值。我想知道是否有办法使用循环结构来执行此操作。不必为我要测试的每个方法都设置一个assertEquals。例如:describeitem,"TestingtheItem"doit"willhaveanullvaluetostart"doitem=Item.new#HereIcoulddotheitem.name.shouldbe_nil#thenIcoulddoitem.category.shouldbe_nilendend但我想要一些方法来使用

  2. ruby - 其他文件中的 Rake 任务 - 2

    我试图在一个项目中使用rake，如果我把所有东西都放到Rakefile中，它会很大并且很难读取/找到东西，所以我试着将每个命名空间放在lib/rake中它自己的文件中，我添加了这个到我的rake文件的顶部:Dir['#{File.dirname(__FILE__)}/lib/rake/*.rake'].map{|f|requiref}它加载文件没问题，但没有任务。我现在只有一个.rake文件作为测试，名为“servers.rake”，它看起来像这样:namespace:serverdotask:testdoputs"test"endend所以当我运行rakeserver:testid时

  3. ruby-on-rails - Ruby net/ldap 模块中的内存泄漏 - 2

    作为我的Rails应用程序的一部分，我编写了一个小导入程序，它从我们的LDAP系统中吸取数据并将其塞入一个用户表中。不幸的是，与LDAP相关的代码在遍历我们的32K用户时泄漏了大量内存，我一直无法弄清楚如何解决这个问题。这个问题似乎在某种程度上与LDAP库有关，因为当我删除对LDAP内容的调用时，内存使用情况会很好地稳定下来。此外，不断增加的对象是Net::BER::BerIdentifiedString和Net::BER::BerIdentifiedArray，它们都是LDAP库的一部分。当我运行导入时，内存使用量最终达到超过1GB的峰值。如果问题存在，我需要找到一些方法来更正我的代

  4. ruby-on-rails - Rails 3 中的多个路由文件 - 2

    Rails2.3可以选择随时使用RouteSet#add_configuration_file添加更多路由。是否可以在Rails3项目中做同样的事情？ 最佳答案 在config/application.rb中:config.paths.config.routes在Rails3.2(也可能是Rails3.1)中，使用:config.paths["config/routes"] 关于ruby-on-rails-Rails3中的多个路由文件，我们在StackOverflow上找到一个类似的问题

  5. ruby - 将差异补丁应用于字符串/文件 - 2

    对于具有离线功能的智能手机应用程序，我正在为Xml文件创建单向文本同步。我希望我的服务器将增量/差异(例如GNU差异补丁)发送到目标设备。这是计划:Time=0Server:hasversion_1ofXmlfile(~800kiB)Client:hasversion_1ofXmlfile(~800kiB)Time=1Server:hasversion_1andversion_2ofXmlfile(each~800kiB)computesdeltaoftheseversions(=patch)(~10kiB)sendspatchtoClient(~10kiBtransferred)Cl

  6. ruby-on-rails - Rails - 一个 View 中的多个模型 - 2

    我需要从一个View访问多个模型。以前，我的links_controller仅用于提供以不同方式排序的链接资源。现在我想包括一个部分(我假设)显示按分数排序的顶级用户(@users=User.all.sort_by(&:score))我知道我可以将此代码插入每个链接操作并从View访问它，但这似乎不是“ruby方式”，我将需要在不久的将来访问更多模型。这可能会变得很脏，是否有针对这种情况的任何技术？注意事项:我认为我的应用程序正朝着单一格式和动态页面内容的方向发展，本质上是一个典型的网络应用程序。我知道before_filter但考虑到我希望应用程序进入的方向，这似乎很麻烦。最终从任何

  7. ruby-on-rails - Rails 3.2.1 中 ActionMailer 中的未定义方法 'default_content_type=' - 2

    我在我的项目中添加了一个系统来重置用户密码并通过电子邮件将密码发送给他，以防他忘记密码。昨天它运行良好(当我实现它时)。当我今天尝试启动服务器时，出现以下错误。=>BootingWEBrick=>Rails3.2.1applicationstartingindevelopmentonhttp://0.0.0.0:3000=>Callwith-dtodetach=>Ctrl-CtoshutdownserverExiting/Users/vinayshenoy/.rvm/gems/ruby-1.9.3-p0/gems/actionmailer-3.2.1/lib/action_mailer

  8. ruby-on-rails - Rails 应用程序之间的通信 - 2

    我构建了两个需要相互通信和发送文件的Rails应用程序。例如，一个Rails应用程序会发送请求以查看其他应用程序数据库中的表。然后另一个应用程序将呈现该表的json并将其发回。我还希望一个应用程序将存储在其公共(public)目录中的文本文件发送到另一个应用程序的公共(public)目录。我从来没有做过这样的事情，所以我什至不知道从哪里开始。任何帮助，将不胜感激。谢谢! 最佳答案 无论Rails是什么，几乎所有Web应用程序都有您的要求，大多数现代Web应用程序都需要相互通信。但是有一个小小的理解需要你坚持下去，网站不应直接访问彼此

  9. ruby - 无法运行 Rails 2.x 应用程序 - 2

    我尝试运行2.x应用程序。我使用rvm并为此应用程序设置其他版本的ruby​​:$rvmuseree-1.8.7-head我尝试运行服务器，然后出现很多错误:$script/serverNOTE:Gem.source_indexisdeprecated,useSpecification.Itwillberemovedonorafter2011-11-01.Gem.source_indexcalledfrom/Users/serg/rails_projects_terminal/work_proj/spohelp/config/../vendor/rails/railties/lib/r

  10. ruby-on-rails - Rails 应用程序中的 Rails : How are you using application_controller. rb 是新手吗？ - 2

    刚入门rails，开始慢慢理解。有人可以解释或给我一些关于在application_controller中编码的好处或时间和原因的想法吗？有哪些用例。您如何为Rails应用程序使用应用程序Controller？我不想在那里放太多代码，因为据我了解，每个请求都会调用此Controller。这是真的？ 最佳答案 ApplicationController实际上是您应用程序中的每个其他Controller都将从中继承的类(尽管这不是强制性的)。我同意不要用太多代码弄乱它并保持干净整洁的态度，尽管在某些情况下ApplicationContr

随机推荐