SOAR 的定義
安全性協調流程、自動化和回應 (SOAR) 是指一套可自動預防和回應網路攻擊的服務。為了完成這個自動化流程，系統會統一您的整合、定義工作的執行方式，並開發符合貴組織需求的事件回應方案。
有了 SOAR 技術的幫助，先前因重複又費時的工作而焦頭爛額的安全性作業中心 (SOC) 團隊現在就能更有效率地解決事件，從而降低成本、填補涵蓋範圍漏洞，並提高生產力。
SOAR 如何運作？
SOAR 通常是由協調流程、自動化和事件回應所組成，這三個元件會共同運作來尋找並阻止攻擊。
協調流程會連結內部和外部工具 (包括現成與自訂的整合)，以便從單一集中位置進行存取。這能讓您合併資料並簡化程序，為自動化做好準備。
自動化會規劃工作，讓它們自動執行。這是透過劇本來完成，其為工作流程的集合，被規則或事件觸發時可自動執行。劇本能讓您自動化工作、管理警示，並建立威脅和事件的回應。
協調流程和自動化為 AI 支援的事件回應奠定基礎，進而產生更快速且更精確的回應，並降低需要補救的安全性問題。
SOAR 與SIEM
如果您正在探索安全性解決方案，則您很可能遇到了一個擁有類似縮寫的相關安全性工具：安全性資訊與事件管理 (SIEM)。什麼是 SIEM？與 SOAR 有何不同？ 何時該使用哪一種解決方案 (而不是另一種)？
SOAR 工具主要用於協調並自動化威脅回應，而 SIEM 會透過威脅偵測、記錄管理、事件分析以及法規和標準的合規性，提供更完整的活動可見度。為了達成這樣的可見度，系統會記錄並合併您網路中的多個資料串流，提供貴組織整體安全性情勢的鳥瞰圖。
兩種系統搭配使用成效最好。SIEM 會收集並分析資料，而 SOAR 會根據此資料來運作，兩者一起為風險偵測、可見度和回應打造出一個完整的解決方案。
自動化與協調流程
讓我們深入探究兩種讓 SOAR 正常運作的基礎元件，也就是安全性自動化和協調流程，並了解它們與彼此的不同與互補之處。
安全性自動化能讓您制定動作並讓其自動執行。舉例來說，您可能會使用自動化來規劃工作、警示或事件回應。自動化也可協助加快安全性程序 (例如威脅搜捕和補救)，讓您以更少的步驟解決環境中的潛在威脅。簡化工作和程序之後，SOC 團隊就不必再花大量時間排序永無止境的警示，專心處理重要的訊號。
安全性協調流程能讓您連結到各種工具和整合，以便集中並分享資訊。協調流程也可讓這些工具以群組的形式在整個環境中回應事件，即使資料散布在整個網路中也沒有問題。由於協調流程具有這些功能，因此它對協調大規模自動化而言至關重要。
安全性自動化會簡化工作，讓工作更加順暢地執行，而安全性協調流程可連結工具以便其共同執行。這兩個 SOAR 元件會一起運作，形成一個更有凝聚力的系統，將整個流程的效率最大化。
SOAR 為何如此重要？
網路攻擊越來越常見，而且只會變得更加複雜。因此，許多組織現在將網路安全性視為優先要務，而且公司和客戶每年也都在持續增加安全性解決方案上的花費。
即便如此，網路罪犯也沒有慢下腳步。資料外洩越來越嚴重，導致出現了大量警示，讓 SOC 團隊每天都處在巨大壓力之下。手動回應這些警示非常耗時，不但十分繁瑣，還很容易出錯。來自不同系統的巨量通知蜂擁而入，要在繁雜的資料中取得清晰且有凝聚力的安全性情勢概況就變得更加困難。
這就是 SOAR 能派上用場的地方。SOAR 技術能提供端對端系統來自動識別弱點並加以回應，無需人為介入。有了 SOAR 工具，組織就能定義並設定事件的回應方式，騰出更多時間和預算來處理優先度更高的專案。
SOAR 的優點
SOAR 工具對簡化 SecOps 方式而言至關重要。探索將 SOAR 新增到安全性解決方案套件中的諸多長期好處。
更強大的生產力
SOAR 工具會減少大量重複且費時的工作和正在進行中的作業。這能讓您的團隊更聰明地工作，而不是更辛苦地工作。
活動的集中式畫面
SOAR 解決方案會將不同廠商的各種工具全都整合到同一個位置。這樣一來，SOC 團隊就能輕鬆存取所需資訊，以便調查和補救事件。
成本最佳化
合併安全性廠商可協助您降低高達 60% 的營運成本，讓您騰出預算來處理優先度更高的需求。
輕鬆共同作業和上線
協調流程工具會整合系統，為適當的對象提供合適的工具，並在他們需要開始制定更明智的決策時提供所需的資料。
更快的回應
SOAR 工具會在各種情境下自動化事件回應，大幅減少平均回應時間，進而產生更快速也更精確的解決方案，讓誤判為真的機率降低多達 79%。
預防不斷演變的攻擊
SOAR 工具可透過威脅情報，提供更完善的資料潛在風險深入解析，讓您的團隊可以對複雜的事件執行更有意義的調查。
SOAR 最佳做法
確保您的 SOAR 解決方案可滿足貴組織的需求。透過這些建議功能來找出需要注意的跡象。
自動化事件回應
有效的 SOAR 解決方案應該能輕鬆使用可執行自動化的工具，來監控安全性警示並加以回應。
協調流程
這些工具應該與彼此連結並以群組的形式採取行動。您也想要確保偏好的整合能與您現有的環境相容。
威脅情報
許多 SOAR 平台會使用威脅情報來收集潛在惡意活動的關聯式資料。這可協助安全性團隊決定要採取哪個最佳行動來防禦。
強固的事件管理
您應該要能從單一集中式位置記錄、管理並調查事件。這有助於識別和管理潛在和未知的威脅。
劇本自動化
評估 SOAR 解決方案時，您會想要打造各種劇本，並且能夠存取預先建立和自訂的工作流程。
可調整的彈性基礎結構
由於技術日新月異，可擴縮性和可用性對 SOAR 解決方案而言變得非常重要。尋找可擴大或縮小的解決方案以滿足您的需求。
SOAR 解決方案
每個組織各不相同，因此找到適合您的 SOAR 解決方案可能會很棘手。為了達成最佳共同作業，您的 SOAR 解決方案應該要與您偏好的工具、程序以及現有環境相容。這項解決方案應該要提供強固且可自訂的現成自動化程序，不但能夠彈性部署，還可因應需求擴縮。
對於涵蓋攻擊偵測、威脅可見度和回應的完整端對端企業解決方案，您會想要同時透過 SOAR 和 SIEM 功能來探索服務。Microsoft Sentinel 是可調整的雲端原生 SecOps 解決方案，內建協調流程和自動化，且可為您提供整個組織的可見度。在 Microsoft Sentinel 這個單一平台上就能處理您所有的安全性需求。
常見問題集
-
組織使用 SOAR 工具來自動化其安全性作業，並更有效率地回應事件。簡化的安全性方法可大幅節省成本、減少涵蓋範圍的漏洞，並使安全性作業團隊更具生產力。
-
SOAR 通常是透過協調流程、自動化和回應來進行實作。協調流程工具會將不同的整合和系統帶到單一集中式位置，而自動化 (通常是透過劇本來啟用) 會設定並定義動作應執行的時間。兩個元件會互相搭配運作，形成一個自動化事件回應系統，可有效且快速地做出反應。
-
SOC 團隊每天都會收到大量的安全性警示。SOAR 工具會協助減緩這些壓力，藉由自動化費時的工作和程序，為事件回應系統奠定基礎，讓此系統自動回應並解決警示。這能讓 SOC 團隊騰出時間，專心處理優先度更高的工作。
-
作為一項與 SIEM 和 SOAR 有許多共同點的新技術，延伸偵測及回應 (XDR) 能整合環境中的資料，以便偵測並回應威脅。XDR 與 SOAR 都能自動化工作流程和回應，但 SOAR 是唯一支援協調流程的解決方案。
-
安全性協調流程、自動化和回應 (SOAR) 技術是指一套可協助整合並自動化安全性相關工作和程序的工具。
關注 Microsoft 365