Globales Investmentunternehmen

Was ist SOAR?

SOAR (Security, Orchestration, Automation and Response) bezieht sich auf Software, die es Unternehmen ermöglicht, Sicherheitsabläufe in vielen Bereichen zu optimieren, einschließlich Bedrohungs- und Schwachstellenmanagement, Reaktion auf Vorfälle und Automatisierung von Sicherheitsabläufen.

Wofür steht die Abkürzung SOAR?

SOAR zeichnet sich durch drei Schlüsselfähigkeiten aus:

1. Sicherheitsorchestrierung: Verbindung von Sicherheitstools und Integration unterschiedlicher Sicherheitssysteme.
2. Sicherheitsautomatisierung: Ausführen von Aufgaben im Zusammenhang mit Sicherheitsvorgängen, wie z. B. Abrufen neuer Warnungen, Verstöße und Suchergebnisse aus dem Sicherheitsinformations- und Ereignismanagement (SIEM) oder Indikatoren für Kompromittierungen (IoCs) aus Bedrohungsinformationen, ohne menschliches Eingreifen.
3. Sicherheitsreaktion: ein strukturierter, mehrstufiger Prozess, der es Unternehmen ermöglicht, die Auswirkungen von Cyberangriffen und Datenschutzverletzungen abzuwenden oder zu verringern.

Wofür wird ein SOAR-System verwendet?

SOAR-Plattformen und -Lösungen sammeln Daten aus einer Vielzahl von Quellen wie Logdateien, Anwendungsmetriken und Cloud-Überwachungsdiensten und analysieren diese Daten, um Anomalien zu erkennen, die Anzeichen für einen Verstoß sein könnten. Anschließend helfen SOARs den Teams bei der Planung und Ausführung einer Reaktionsstrategie für die identifizierten Bedrohungen und beschleunigen die Erkennung und Beseitigung von Bedrohungen durch Automatisierung.

Die Automatisierung zeitraubender Aufgaben ist laut 57 % der von Sumo Logic befragten Sicherheitsexperten die wichtigste Funktion von SOAR-Lösungen.

Mit einer effektiven SOAR-Lösung (Security Orchestration, Automation, and Response) ist es möglich, in kürzerer Zeit mehr zu erreichen, während die menschliche Entscheidungsfindung in den kritischsten Momenten weiterhin ermöglicht wird. SOAR hilft Teams, sich von der Abhängigkeit von Punkt-zu-Punkt-Integrationen zu lösen. Stattdessen entwickeln SOAR-Tools verschiedene Prozesse, um die richtigen Personen und Technologien miteinander zu verbinden und so die Unternehmensziele zu erreichen.

Alles in allem bieten SOARs eine End-to-End-Sicherheitslösung für moderne Unternehmen.

Wie implementiert man SOAR-Lösungen?

Ein entscheidender Faktor für den Erfolg der Orchestrierungsfunktionen von SOAR-Tools ist eine Bibliothek mit Plug-ins für die am häufigsten verwendeten Technologien und eine Reihe von vorgefertigten Workflows für gängige Anwendungsfälle.

In der Regel werden diese Workflows in Form von anpassbaren Playbooks oder Runbooks erstellt, die auf Branchenstandards und aktuellen Best Practices basieren. Sie decken ein breites Spektrum von Szenarien ab – von Phishing über Brute-Forcing bis hin zu Ransomware-Angriffen. Genauso wichtig ist, dass Sie mit Playbooks einen großen Teil des Incident-Response-Lebenszyklus automatisieren können.

Beispiel für den Anreicherungsprozess während eines Playbooks mit gestohlenen Zugangsdaten.

Eine große Auswahl an Plugins oder Integrationen, zusammen mit vorgefertigten Playbooks, versetzt Teams in die Lage, Ihren Technologie-Stack einfach zu verbinden und Ihre Sicherheits- und IT-Prozesse zu automatisieren. Sie werden wahrscheinlich zusätzliche Orchestrierungen oder Workflows erstellen müssen, die auf Ihr Team zugeschnitten sind. Die Verfügbarkeit von vorgefertigten Beispielen und benutzerfreundlichen Bausteinen als Arbeitsgrundlage sollte jedoch zur Beschleunigung dieses Prozesses beitragen.

Die Trends hinter der wachsenden Einführung von SOAR

Der Begriff SOAR wurde von Gartner im Jahr 2017 geprägt. Analysten zufolge wird SOAR aufgrund von drei Hauptfaktoren immer schneller eingeführt.

Die wachsende Komplexität der Cybersecurity-Bedrohungen

Die Sicherheitsbedrohungen werden immer komplexer, da Angreifer Techniken einsetzen, um ihre Aktivitäten zu verschleiern. So könnten sie beispielsweise virtuelle Maschinen verwenden, um Exploits zu starten. Diese Praxis erschwert die Erkennung von Angriffen, da sich die Messwerte der Zielsysteme erst ändern, wenn der Angriff bereits erfolgt ist. In anderen Szenarien kann Malware die Sicherheitsprozesse eines Systems aktiv abschalten, so dass herkömmliche Sicherheitstools ihre Anwesenheit nicht entdecken können.

Da Bedrohungen immer komplexer werden, bieten SOAR-Lösungen tiefere und umfassendere Sicherheitsanalysen, um Bedrohungen schneller zu diagnostizieren und zu beheben. Mit einer SOAR-Lösung können Unternehmen automatisch mehr Daten erfassen und diese eingehend analysieren, um Bedrohungen zu identifizieren und die Untersuchungsaktivitäten zu beschleunigen.

>> Erfahren Sie mehr: Überwältigt: warum SOAR-Lösungen ein Game-Changer sind

Das wachsende Ausmaß von Cybersicherheitsbedrohungen und -warnungen

Während die Bedrohungen immer komplexer werden, werden sie auch immer allgegenwärtiger. Im Jahr 2021 wurden Rekorde hinsichtlich des Umfangs und der Häufigkeit von Cyberangriffen verzeichnet, und 2023 wird sich dieser Trend aller Voraussicht nach fortsetzen.

In der Folge müssen Sicherheitsteams auf mehr Alarme denn je reagieren. Die so genannte Alarmmüdigkeit ist eine der größten Herausforderungen für Sicherheitsteams. Es fällt ihnen schwer, mit der Menge an Alerts Schritt zu halten, zwischen falsch positiven und negativen Meldungen zu unterscheiden und zu entscheiden, welche Warnmeldungen Priorität haben sollen.

Fehlalarme und Alarmmüdigkeit waren einige der Probleme, die Sumo Logic in einer Umfrage unter Sicherheitsexperten identifiziert hat.

SOARs gehen diese Herausforderungen an, indem sie kontextbezogene, umsetzbare Informationen über Sicherheitsbedrohungen aus einer Vielzahl von verschiedenen Tools bereitstellen. Anstatt Risiken lediglich zu identifizieren, kategorisieren SOARs diese nach ihrem Bedrohungsgrad. In vielen Fällen bieten SOARs Hinweise darauf, wie Teams am effizientesten auf eine Bedrohung reagieren können. Und wie wir bereits festgestellt haben, können SOARs bestimmte Bedrohungen in einigen Szenarien automatisch beseitigen, indem sie herkömmliche Sicherheitstools orchestrieren.

Mangel an Cybersicherheitskompetenzen

Erschwerend zum Ausmaß der modernen Bedrohungen kommt hinzu, dass es an qualifizierten Analysten mangelt, die darauf reagieren können.

Im Jahr 2022 gab es 435.000 unbesetzte Stellen im Bereich Cybersicherheit in den Vereinigten Staaten, gegenüber 314.000 im Jahr 2019. Diese „Qualifikationslücke“ wird sich wahrscheinlich eher verschlimmern als verbessern.

Selbst die kleinsten Cybersicherheitsteams können SOAR-Tools nutzen, um Bedrohungen zu bewältigen. SOAR automatisiert komplexe Sicherheitsabläufe und hilft allen Beteiligten, ihre Sicherheitsmaßnahmen zu koordinieren.

>> Lesen Sie den GigaOM Radar-Bericht für SOAR-Lösungen

Der Unterschied zwischen SOAR und SIEM

SOAR wird manchmal mit SIEM verglichen. Im Allgemeinen übernehmen SIEM-Plattformen folgende Aufgaben:

• Erfassen und Aggregieren von Logs aus internen Quellen einer bestimmten IT-Umgebung, wie z. B. Firewalls, Datenbanken, Servern, Anwendungen, Netzwerkgeräten und Intrusion-Detection-Systemen (IDS)
• Durchführung von Log-Audits
• Durchführung von Echtzeit-Alarmanalysen
• Erstellen von Compliance-Berichten

Können Unternehmen SOAR durch SIEM ersetzen?

In der Vergangenheit haben Unternehmen auf SIEM gesetzt, um Bedrohungen aufzuspüren, doch in der Regel endet hier die Funktionalität.

Im Gegensatz dazu orchestriert SOAR die Sicherheitsreaktionen, um Bedrohungsinformationen verwertbar zu machen. Mit SOAR können Sie unterschiedliche Technologien koordinieren – einschließlich externen Endpunktsicherheitslösungen, externen Bedrohungsdaten und anderen externen Tools ,– damit diese zusammenarbeiten.

Viele Unternehmen nutzen beide für eine umfassendere Bedrohungsmanagement-Lösung.

Die wichtigsten Vorteile von SOAR-Lösungen

SOAR hilft beim Aufbau von Workflows und bei der Rationalisierung von Abläufen

Durch den Einsatz von SOAR profitieren Unternehmen von einer Vielzahl von Vorteilen, die andere Sicherheitstools nicht bieten können.

Rationalisierte Sicherheitsreaktion und Automatisierung

Indem SOAR alle Daten über Sicherheitsbedrohungen allen Beteiligten zur Verfügung stellt und bei der Orchestrierung von Reaktionsmaßnahmen hilft, entfällt die Notwendigkeit, bei Bedrohungen auf Vermutungen oder einen Ad-hoc-Ansatz zurückzugreifen.

SOAR trägt wiederum dazu bei, die Zeit zu minimieren, die für die Eindämmung und Beseitigung von Bedrohungen benötigt wird – was angesichts der Tatsache, dass aktive Sicherheitsverletzungen pro Minute Millionen von Dollar kosten können, von entscheidender Bedeutung ist.

SOAR bietet ein erweitertes Alarmmanagement, das SOC-Teams unterstützt

SOAR hilft SOC-Teams, Sicherheitswarnungen besser zu verstehen, um ihre allgemeine Sicherheitslage zu verbessern. Mit SOAR ist es möglich, sofort zu sehen, welche Systeme von einer Bedrohung betroffen sind, und den Schweregrad einer Cyber-Bedrohung zu bestimmen, ohne sie manuell untersuchen zu müssen. Zudem wird die Identifizierung von Warnungen, bei denen es sich wahrscheinlich um Fehlalarme handelt, einfacher.

Sumo Logic Cloud-SOAR verfolgt einen proaktiven Ansatz bei der Untersuchung von Alarmen.

Normalerweise macht ein altes SIEM die Sichtung von Warnmeldungen zu einer mühsamen Aufgabe für Sicherheitsanalysten, die mit einer überwältigenden Anzahl von Alerts umgehen müssen. Es ist unglaublich zeitaufwändig, die eingehenden Daten zu sichten, um echte von Fehlalarmen zu unterscheiden, Alarme zu priorisieren, sie in Vorfälle umzuwandeln, die optimale Incident Response vorzuschreiben und die resultierenden Maßnahmen zu koordinieren. Darüber hinaus können auch bei noch so sorgfältigen Sicherheitsanalysten Fehler passieren, die dazu führen, dass Bedrohungen übersehen werden, die in Unternehmen verheerenden Schaden anrichten.

SOAR-Automatisierung

Einer der grundlegenden Vorteile von SOAR-Plattformen ist die Automatisierung und Orchestrierung des Triage-Prozesses. SOARs können automatisch mit Exabytes von Daten umgehen, eine Reihe von Tools einsetzen und verschiedene Prozesse vereinheitlichen, um die Entscheidungsfindung zu verbessern und die Untersuchung von Alarmen, die Anreicherung und die Erkennung von Bedrohungen durchzuführen. SOARs führen die Triage viel schneller und effizienter durch als Menschen, insbesondere wenn eine Machine-Learning-Engine die SOAR antreibt. Zu den Vorteilen der SOAR-Automatisierung gehören:

• Minimierung von Fehlalarmen und Alarmrauschen
• Verbesserte Reaktionszeit
• Niedrigere MTTR-Raten (Mean Time To Resolution)
• Rationalisierte Reaktion auf Sicherheitsvorfälle (durch Playbooks)
• Effizientere SecOps

Auf diese Weise ermöglichen SOARs ein effizienteres Alarmmanagement. Anstatt zu versuchen, jede Sicherheitswarnung sofort zu bearbeiten, können mit SOAR ausgestattete Teams proaktiv und strategisch reagieren – je nach Schwere der einzelnen Warnungen und dem Umfang der betroffenen Ressourcen.

SOAR kann unterschiedliche Tools integrieren

SOARs sind kein Ersatz für bestehende Sicherheitstools, aber sie können dazu beitragen, diese zu vereinheitlichen, indem sie als zentrale Plattform für das Erfassen, Analysieren und Reagieren auf sicherheitsrelevante Daten dienen.

32 % der Sicherheitsexperten benötigen 6–10 Tools, um auf einen einzigen Sicherheitsvorfall zu reagieren. SOAR fungiert als Bindeglied und hilft dabei, Sicherheitsvorgänge auf einer einzigen Plattform zu zentralisieren.

Ohne SOAR müssten Sie wahrscheinlich mit einer ganzen Reihe verschiedener Tools jonglieren – etwa Protokollaggregatoren, Dienste zur Metrikerfassung, SIEM, Bedrohungsinformationen, Firewalls, IDS, IPS, EDR, IT-Dienste, Ticketsystem, IAM, Analyse und Überwachung, Sandbox, XDR, E-Mail- und Web-Gateway, Proxy, URL-Filterung, Schwachstellenmanagement, IoT-Überwachung, CASB, OT-Sicherheitstools usw. –, um Sicherheitsbedrohungen im Griff zu behalten. Ein SOAR fungiert als gemeinsames Bindeglied für all diese Tools und ermöglicht Ihnen, die Sicherheitsabläufe auf einer einzigen Plattform zu zentralisieren.

Niedrigere Kosten mit SOAR-Systemen

Letztlich können SOARs die Kosten auf zwei Arten senken.

Erstens reduzieren sie die Zeit, die Analysten mit der manuellen Identifizierung von und Reaktion auf Sicherheitsbedrohungen verbringen. Dies führt zu geringeren Personalkosten.

Zweitens können SOARs durch die Verkürzung der Zeit, die für die Eindämmung und Behebung einer Sicherheitsverletzung benötigt wird, dazu beitragen, die finanziellen Auswirkungen von Cybersecurity-Ereignissen zu minimieren. SOAR-Plattformen tragen auch dazu bei, die Menge an Daten zu reduzieren, die bei einer Sicherheitsverletzung preisgegeben werden, was den Ruf des Unternehmens schützt und bei der Vermeidung von Geldstrafen helfen kann. Es wird allgemein angenommen, dass Cybersecurity-Teams die einzigen sind, die für Cyberangriffe verantwortlich sind, doch das ist nicht wahr. Das Bewusstsein für Cybersicherheit kann noch verbessert werden. Jede Abteilung, die Projekte entwickelt, ohne die Cybersicherheit zu berücksichtigen, setzt das gesamte Unternehmen einem Risiko aus.

Erhöhte Flexibilität, Erweiterbarkeit und Zusammenarbeit zwischen Sicherheitsteams

Auch wenn Sicherheitsteams die Hauptnutzer eines SOAR sind, können Sicherheitsanalysten allein selten ein Problem beheben. Es kann sein, dass ein Unternehmen Technologien einsetzt, mit denen mehrere Teams in Berührung kommen und zusammenarbeiten müssen, wobei die verschiedenen Teile nicht immer integriert sind. Wenn die Ursache einer Bedrohung zum Beispiel eine Code-Schwachstelle ist, müssen sie mit den Entwicklern zusammenarbeiten, um diese zu beheben. Wenn es sich um ein Konfigurationsproblem mit einer Anwendung oder einem Cloud-Service handelt, benötigen sie die Hilfe von IT-Ingenieuren. SOARs stellen sicher, dass Entwickler, IT-Ingenieure und andere Gruppen, die in den Prozess eingebunden werden müssen, problemlos zusammenarbeiten können, um eine schnelle und effektive Reaktion zu erreichen, die jede Phase und die damit verbundene Zeit verfolgt.

Die Auswahl der besten SOAR-Lösung

Unabhängig davon, ob Sie neu im Bereich SOAR sind oder Ihren derzeitigen SOAR-Anbieter wechseln möchten, ist es wichtig, dass Sie die Anforderungen Ihrer Sicherheitsteams mit dem richigen SOAR Lösung in Einklang bringen. Da SOAR erhebliche Auswirkungen auf das Security Operations Center (SOC) haben kann, ist es wichtig, die verfügbaren Optionen zu kennen, um die beste Entscheidung für die richtige SOAR-Lösung zu treffen. Ob es um die Anpassung von Arbeitsabläufen, die Erstellung und Verwaltung von Integrationen oder den Aufbau völlig neuer Prozesse geht, es ist wichtig zu wissen, wie man SOAR-Lösungen und -Anbieter vergleicht. Folgende Kriterien helfen Ihnen, die beste SOAR-Lösung zu finden:

• Ermöglicht die einfache und flexible Erstellung von bidirektionalen Integrationen.
• Unterstützt gängige Methoden der Dateneingabe, wie Syslog, Datenbankverbindungen, APIs, E-Mail, Online-Formulare und Datenstandards wie CEF, OpenIOC und STIX/TAXII.
• Integriert einfach zu erstellende Workflows durch Hinzufügen von Aktionen in Playbooks zur Definition von Standardarbeitsanweisungen (SOPs) ohne Programmierkenntnisse.
• Enthält zusätzliche Funktionen zur Verwaltung des gesamten Lebenszyklus der Reaktion auf einen Vorfall und des Managements, z. B. die Nachverfolgung von Fällen, die Aufzeichnung von Maßnahmen, die während des Vorfalls ergriffen wurden, und die Erstellung von Berichten über kritische Metriken und KPIs.
• Orchestriert und automatisiert viele verschiedene Arten von Bedrohungsdaten.
• Unterstützt mehrere Instanzen auf einem einzigen Host und bietet eine genaue Datentrennung und Zugriffskontrollen für die Informationen der einzelnen Mandanten.

Warum sich Unternehmen für Sumo Logic Cloud-SOAR entscheiden

Es gibt eine Vielzahl von Anbietern, die Lösungen mit der Bezeichnung SOAR anbieten. Eine Orientierungshilfe für den SOAR-Markt finden Sie in unserem SOAR-Einkaufsführer. Bei einigen handelt es sich hauptsächlich um SIEM-Plattformen, die um einige grundlegende SOAR-Funktionen erweitert wurden. Andere sind SOAR-Lösungen, die nur in bestimmten Umgebungen oder mit bestimmten Arten von Infrastrukturen funktionieren.

Sumo Logic Cloud-SOAR wurde von Grund auf so konzipiert, dass es die vollständige SOAR-Funktionalität in jeder Art von Umgebung bereitstellt – Private Cloud, Single Cloud, Multi-Cloud oder Hybrid Cloud. Hier ist eine Tabelle, die den Vergleich mit Sumo Logic Cloud-SOAR zusammenfasst:

Wie die University of California, Davis die Reaktion auf Bedrohungen mit Cloud-SOAR beschleunigt

Die Systeme der UC Davis, die für Forscher, Studenten, Dozenten und Mitarbeiter bereitstehen, erzeugen 10.000 Ereignisse pro Sekunde. Zu den Sicherheitsherausforderungen kommt hinzu, dass die UC Davis mit offenen Zugangsrichtlinien arbeitet und ein föderiertes IT-Governance-Modell auf dem gesamten Campus einsetzt.

Um einige Prozesse im Sicherheitsbereich zu automatisieren, hat das SOC-Team ein API-zentriertes Skripting-Modell entwickelt, das durch von Studenten entwickelte Python-Skripte unterstützt wird, aber einige Sicherheitslücken aufweist. UC Davis nutzt Sumo Logic Cloud-SOAR, um die Reaktion auf Bedrohungen zu beschleunigen und die Effizienz seines SOC mit einer hybriden Cloud-Architektur zu verbessern.

Das Open Integration Framework des Cloud-SOAR macht es kompatibel mit den bereits vorhandenen Python-Skripten des SOC und erspart dem Team die Erstellung neuer Integrationen. Cloud-SOAR liefert nicht nur das fehlende Stück im Workflow des SOC, indem es sich in alle vorhandenen Technologien integrieren lässt, sondern es erfüllt auch die Sicherheitsanforderungen des SOC.

Mit Cloud-SOAR unterstützt die UC Davis die Forschung und gewährleistet gleichzeitig Sicherheitsrichtlinien und -verfahren, die die Universität vor potenziellen Angriffen schützen.

Cloud-SOAR erleben

Mit Sumo Logic Cloud-SOAR können Sicherheitsteams effizient und proaktiv arbeiten, unabhängig davon, mit wie vielen Alarmen sie jonglieren müssen, welche anderen Sicherheitstools sie mit ihrem SOAR verbinden müssen oder mit welchen Arten von Sicherheitsbedrohungen sie konfrontiert sind.

Sumo Logic Cloud-SOAR stützt sich auf sein Open Integration Framework, um sich problemlos in die eingesetzte Umgebung einzufügen und sich nahtlos in verschiedene Sicherheitstechnologien, einschließlich SIEM, zu integrieren. Anstatt zwischen mehreren Dashboards zu manövrieren, verwendet Cloud-SOAR detaillierte Informationen zu einem Fall (Vorfall) – von der Identifizierung bis zur Behebung – in einem einzigen Dashboard. Dies ermöglicht Sicherheitsteams, ihre Incident-Response-Prozesse mit vollständiger Transparenz aufzubauen und zu pflegen und Cloud-SOAR sowie Cloud-SIEM harmonisch zu nutzen.

Sehen Sie, wie Cloud-SOAR schnell ein integraler Bestandteil Ihrer Infrastruktur werden kann – fordern Sie eine Demo von Sumo Logic Cloud-SOAR an.