SOAR-Leitfaden

Was ist SOAR?

SOAR (Security, Orchestration, Automation and Response) bezieht sich auf Software, die es Unternehmen ermöglicht, Sicherheitsabläufe in vielen Bereichen zu optimieren, einschließlich Bedrohungs- und Schwachstellenmanagement, Reaktion auf Vorfälle und Automatisierung von Sicherheitsabläufen.

Wofür steht die Abkürzung SOAR?

SOAR zeichnet sich durch drei Schlüsselfähigkeiten aus:

1. Sicherheitsorchestrierung: Verbindung von Sicherheitstools und Integration unterschiedlicher Sicherheitssysteme.
2. Sicherheitsautomatisierung: Ausführen von Aufgaben im Zusammenhang mit Sicherheitsvorgängen, wie z. B. Abrufen neuer Warnungen, Verstöße und Suchergebnisse aus dem Sicherheitsinformations- und Ereignismanagement (SIEM) oder Indikatoren für Kompromittierungen (IoCs) aus Bedrohungsinformationen, ohne menschliches Eingreifen.
3. Sicherheitsreaktion: ein strukturierter, mehrstufiger Prozess, der es Unternehmen ermöglicht, die Auswirkungen von Cyberangriffen und Datenschutzverletzungen abzuwenden oder zu verringern.

Wofür wird ein SOAR-System verwendet?

SOAR-Plattformen und -Lösungen sammeln Daten aus einer Vielzahl von Quellen wie Protokolldateien, Anwendungsmetriken und Cloud-Überwachungsdiensten und analysieren diese Daten, um Anomalien zu erkennen, die Anzeichen für einen Verstoß sein könnten. Anschließend helfen SOARs den Teams bei der Planung und Ausführung einer Reaktionsstrategie für die identifizierten Bedrohungen und beschleunigen die Erkennung und Behebung von Bedrohungen durch Automatisierung.

Die Automatisierung zeitraubender Aufgaben ist laut 57 % der von Sumo Logic befragten Sicherheitsexperten die wichtigste Funktion von SOAR-Lösungen.

Mit einer effektiven SOAR-Lösung ist es möglich, in kürzerer Zeit mehr zu erreichen und trotzdem menschliche Entscheidungen zu treffen, wenn es darauf ankommt. SOAR hilft Teams, über Punkt-zu-Punkt-Integrationen hinauszugehen. Stattdessen bauen SOAR-Tools verschiedene Prozesse auf, um die richtigen Leute und Technologien zu verbinden, damit die Ziele erreicht werden.

Alles in allem bieten SOARs eine End-to-End-Sicherheitslösung für moderne Unternehmen.

Wie implementieren Sie SOAR-Lösungen?

Ein entscheidender Faktor für den Erfolg der Orchestrierungsfunktionen von SOAR-Tools ist eine Bibliothek mit Plug-ins für die am häufigsten verwendeten Technologien und eine Reihe von vorgefertigten Workflows für gängige Anwendungsfälle.

Normalerweise werden diese Workflows in Form von anpassbaren Playbooks oder Runbooks auf der Grundlage von Industriestandards und aktuellen Best Practices erstellt. Sie decken ein breites Spektrum von Szenarien ab, von Phishing über Brute-Forcing bis hin zu Ransomware-Angriffen. Ebenso wichtig ist, dass Sie mit Playbooks einen großen Teil des Lebenszyklus der Reaktion auf Vorfälle automatisieren können.

Beispiel für den Anreicherungsprozess während eines Playbooks mit gestohlenen Anmeldedaten.

Eine breite Palette von Plugins oder Integrationen sowie vorgefertigte Playbooks ermöglichen es Teams, Ihren Technologie-Stack einfach zu verbinden und Ihre Sicherheits- und IT-Prozesse zu automatisieren. Sie werden wahrscheinlich zusätzliche Orchestrationen oder Workflows erstellen müssen, die auf Ihr Team zugeschnitten sind, aber vorgefertigte Beispiele und einfach zu verwendende Bausteine, mit denen Sie arbeiten können, sollten diesen Prozess beschleunigen.

Die Trends hinter der wachsenden SOAR-Annahme

Der Begriff SOAR wurde von Gartner im Jahr 2017 geprägt. Analysten zufolge wächst die Akzeptanz von SOAR aufgrund von drei Hauptfaktoren schnell.

Die wachsende Komplexität der Bedrohungen der Cybersicherheit

Die Sicherheitsbedrohungen werden immer komplexer, da Angreifer Techniken einsetzen, um ihre Aktivitäten zu verschleiern. Diese Praxis erschwert die Entdeckung von Angriffen, da sich die Metriken der Zielcomputer erst ändern, wenn der Angriff bereits erfolgt ist. In anderen Szenarien kann Malware die Sicherheitsprozesse eines Systems aktiv abschalten und so verhindern, dass herkömmliche Sicherheitstools ihre Präsenz entdecken.

Da die Bedrohungen immer komplexer werden, bieten SOARs tiefere und umfassendere Sicherheitsanalysen, um Bedrohungen schneller zu diagnostizieren und zu beheben. Mit einer SOAR-Lösung können Unternehmen automatisch mehr Daten sammeln und diese intensiv analysieren, um Bedrohungen aufzuzeigen und Ermittlungsaktivitäten zu beschleunigen.

>> Erfahren Sie mehr: Überwältigt: warum SOAR-Lösungen ein Game-Changer sind

Das wachsende Ausmaß von Cybersicherheitsbedrohungen und -warnungen

Während die Bedrohungen immer komplexer werden, werden sie auch immer allgegenwärtiger. Das Jahr 2021 hat Rekorde für den Umfang und die Häufigkeit von Cyberangriffen aufgestellt, und 2023 ist zweifellos auf dem besten Weg, dasselbe zu erreichen.

Infolgedessen müssen die Sicherheitsteams auf mehr Alarme denn je reagieren. Die so genannte Alarmmüdigkeit ist eine der hartnäckigsten Herausforderungen für Sicherheitsteams. Sie haben Mühe, mit der Menge an Warnmeldungen Schritt zu halten, zwischen falsch positiven und negativen Meldungen zu unterscheiden und zu entscheiden, welche Warnmeldungen Priorität haben sollen.

Fehlalarme und Alarmmüdigkeit waren einige der Probleme, die Sumo Logic in einer Umfrage unter Sicherheitsexperten identifiziert hat.

SOARs gehen diese Herausforderungen an, indem sie kontextbezogene, umsetzbare Informationen über Sicherheitsbedrohungen aus einer Vielzahl von verschiedenen Tools bereitstellen. Anstatt Risiken lediglich zu identifizieren, kategorisieren SOARs sie auf der Grundlage ihres Bedrohungsgrades. In vielen Fällen bieten SOARs Hinweise darauf, wie Teams am effizientesten auf eine Bedrohung reagieren können. Und wie wir bereits festgestellt haben, können SOARs bestimmte Bedrohungen in einigen Szenarien automatisch beseitigen, indem sie herkömmliche Sicherheitstools orchestrieren.

Mangel an Cybersicherheitskompetenzen

Erschwerend zum Ausmaß der modernen Bedrohungen kommt hinzu, dass es an qualifizierten Ingenieuren mangelt, die darauf reagieren können.

Im Jahr 2022 gab es 435.000 unbesetzte Stellen im Bereich Cybersicherheit in den Vereinigten Staaten, gegenüber 314.000 im Jahr 2019. Diese „Qualifikationslücke“ wird sich wahrscheinlich eher verschlimmern, bevor sie besser wird.

Selbst die kleinsten Cybersicherheitsteams können sich auf SOAR-Tools stützen, um Bedrohungen zu bewältigen. SOAR automatisiert komplexe Sicherheitsabläufe und hilft allen Beteiligten, ihre Sicherheitsmaßnahmen zu koordinieren.

>> Lesen Sie den GigaOM Radar-Bericht für SOAR-Lösungen

Der Unterschied zwischen SOAR und SIEM

SOAR wird manchmal mit SIEMverglichen. Im Allgemeinen bieten SIEM-Plattformen Folgendes:

• Sammeln und Aggregieren von Protokollen aus internen Quellen einer bestimmten IT-Umgebung, wie z. B. Firewalls, Datenbanken, Servern, Anwendungen, Netzwerkgeräten und Intrusion Detection Systemen (IDS)
• Durchführung von Protokollüberprüfungen
• Durchführung von Echtzeit-Alarmanalysen
• Erstellen von Compliance-Berichten

Können Unternehmen SOAR durch SIEM ersetzen?

In der Vergangenheit haben sich Unternehmen auf SIEM verlassen, um Bedrohungen aufzuspüren, aber da endet die Funktionalität in der Regel.

Im Gegensatz dazu orchestriert SOAR die Sicherheitsreaktionen, um Bedrohungsinformationen umsetzbar zu machen. Mit SOAR können Sie unterschiedliche Technologien koordinieren – einschließlich Drittanbietern von Endpunktsicherheitslösungen, externen Bedrohungsdaten und anderen externen Tools – um zusammenzuarbeiten.

Viele Unternehmen nutzen beide für eine umfassendere Lösung zum Bedrohungsmanagement.

Die wichtigsten Vorteile von SOAR-Lösungen

SOAR hilft beim Aufbau von Workflows und bei der Rationalisierung von Abläufen

Durch den Einsatz von SOAR profitieren Unternehmen von einer Vielzahl von Vorteilen, die andere Sicherheitstools nicht bieten können.

Rationalisierte Sicherheitsreaktion und Automatisierung

Indem SOAR alle Daten über Sicherheitsbedrohungen allen Beteiligten zur Verfügung stellt und bei der Orchestrierung von Reaktionsmaßnahmen hilft, beseitigt SOAR die Notwendigkeit, Bedrohungen zu erraten oder einen Ad-hoc-Ansatz zu verfolgen.

SOAR wiederum trägt dazu bei, die Zeit zu minimieren, die für die Eindämmung und Beseitigung von Bedrohungen benötigt wird – was angesichts der Tatsache, dass aktive Sicherheitsverletzungen pro Minute Millionen von Dollar kosten können, von entscheidender Bedeutung ist.

SOAR bietet ein erweitertes Alarmmanagement, das SOC-Teams unterstützt

SOAR hilft SOC-Teams, Sicherheitswarnungen besser zu verstehen, um ihre allgemeine Sicherheitslage zu verbessern. Mit einem SOAR ist es möglich, sofort zu sehen, welche Systeme von einer Bedrohung betroffen sind und den Schweregrad einer Cyber-Bedrohung zu bestimmen, ohne sie manuell untersuchen zu müssen. Es ist auch einfacher, Alarme zu erkennen, die wahrscheinlich falsch positiv sind.

Sumo Logic Cloud SOAR verfolgt einen proaktiven Ansatz bei der Untersuchung von Alarmen.

Normalerweise macht ein altes SIEM die Sichtung von Alarmen zu einer mühsamen Aufgabe, die von Sicherheitsanalysten durchgeführt wird, die eine überwältigende Anzahl von Alarmen bearbeiten. Es ist unglaublich zeitaufwändig, die eingehenden Daten zu sichten, um positive von falschen Alarmen zu unterscheiden, Alarme zu priorisieren, sie in Vorfälle umzuwandeln, die optimale Reaktion auf Vorfälle festzulegen und die Aktivitäten zur Reaktion auf Vorfälle zu koordinieren. Und auch wenn Sicherheitsanalysten noch so sorgfältig arbeiten, können Fehler passieren, die dazu führen, dass Bedrohungen übersehen werden, die in Unternehmen verheerenden Schaden anrichten.

SOAR-Automatisierung

Einer der grundlegenden Vorteile von SOAR-Plattformen ist die Automatisierung und Orchestrierung des Triage-Prozesses. SOARs können automatisch mit Exabytes von Daten umgehen, eine Vielzahl von Tools einsetzen und verschiedene Prozesse vereinheitlichen, um die Entscheidungsfindung zu verbessern und Warnungen zu untersuchen, anzureichern und Bedrohungen zu erkennen. SOARs führen die Triage viel schneller und effizienter durch als Menschen, vor allem, wenn eine maschinelle Lernmaschine die SOAR antreibt. Zu den Vorteilen der SOAR-Automatisierung gehören:

• Minimierung von Fehlalarmen und Alarmgeräuschen
• Verbesserte Reaktionszeit
• Niedrigere MTTR-Raten (Mean Time To Resolution)
• Rationalisierte Reaktion auf Sicherheitsvorfälle (durch Playbooks)
• Effizientere SecOps

Auf diese Weise ermöglichen SOARs ein effizienteres Alarmmanagement. Anstatt zu versuchen, jede Sicherheitswarnung sofort zu bearbeiten, können mit SOAR ausgestattete Teams proaktiv und strategisch reagieren, je nach Schwere der einzelnen Warnungen und dem Umfang der betroffenen Ressourcen.

SOAR kann unterschiedliche Tools integrieren

SOARs sind kein Ersatz für bestehende Sicherheitstools, aber sie können dazu beitragen, diese zu vereinheitlichen, indem sie als zentrale Plattform für das Sammeln, Analysieren und Reagieren auf sicherheitsrelevante Daten dienen.

32 % der Sicherheitsexperten benötigen 6 bis 10 Tools, um auf einen einzigen Sicherheitsvorfall zu reagieren. SOAR fungiert als Bindeglied und hilft dabei, Sicherheitsoperationen auf einer einzigen Plattform zu zentralisieren.

Ohne SOAR müssten Sie wahrscheinlich mit einer ganzen Reihe verschiedener Tools jonglieren – etwa Protokollaggregatoren, Dienste zur Metrikerfassung, SIEM, Bedrohungsinformationen, Firewalls, IDS, IPS, EDR, IT-Dienste, Ticketsystem, IAM, Analyse und Überwachung, Sandbox, XDR, E-Mail- und Web-Gateway, Proxy, URL-Filterung, Schwachstellenmanagement, IoT-Überwachung, CASB, OT-Sicherheitstools usw. –, um Sicherheitsbedrohungen im Griff zu behalten. Ein SOAR fungiert als gemeinsamer Anschluss für all diese Tools und ermöglicht es Ihnen, die Sicherheitsabläufe auf einer einzigen Plattform zu zentralisieren.

Niedrigere Kosten mit SOAR-Systemen

Letztlich können SOARs die Kosten auf zwei Arten senken.

Erstens reduzieren sie die Zeit, die Ingenieure mit der manuellen Identifizierung von und Reaktion auf Sicherheitsbedrohungen verbringen. Dies führt zu niedrigeren Personalkosten.

Zweitens können SOARs dazu beitragen, die finanziellen Auswirkungen von Cybersecurity-Ereignissen zu minimieren, indem sie die Zeit verkürzen, die für die Eindämmung und Behebung einer Sicherheitsverletzung benötigt wird. SOAR-Plattformen tragen auch dazu bei, die Menge an Daten zu reduzieren, die bei einer Sicherheitsverletzung preisgegeben werden, was den Ruf des Unternehmens schützt und helfen kann, Geldstrafen zu vermeiden. Es wird allgemein angenommen, dass Cybersecurity-Teams die einzigen sind, die für Cyberangriffe verantwortlich sind, aber das ist nicht wahr. Das Bewusstsein für Cybersicherheit kann noch verbessert werden. Jede Abteilung, die Projekte entwickelt, ohne Cybersicherheit zu berücksichtigen, setzt das gesamte Unternehmen einem Risiko aus.

Erhöhte Flexibilität, Erweiterbarkeit und Zusammenarbeit zwischen Sicherheitsteams

Obwohl Sicherheitsteams die Hauptnutzer eines SOAR sein können, können Sicherheitsanalysten allein nur selten ein Problem beheben. Es ist nicht unwahrscheinlich, dass ein Unternehmen Technologien einsetzt, mit denen mehrere Teams in Berührung kommen und zusammenarbeiten müssen, wobei die verschiedenen Teile nicht immer integriert sind. Wenn die Ursache einer Bedrohung zum Beispiel eine Code-Schwachstelle ist, müssen sie mit den Entwicklern zusammenarbeiten, um diese zu beheben. Wenn es sich um ein Konfigurationsproblem mit einer Anwendung oder einem Cloud-Service handelt, benötigen sie die Hilfe von IT-Technikern. SOARs stellen sicher, dass Entwickler, IT-Ingenieure und andere Gruppen, die in den Prozess eingebunden werden müssen, problemlos zusammenarbeiten können, um eine schnelle, effektive Reaktion zu erreichen, die jede Phase und die damit verbundene Zeit verfolgt.

Die Auswahl der besten SOAR-Lösung

Unabhängig davon, ob Sie neu im SOAR-Bereich sind oder Ihren derzeitigen SOAR-Anbieter wechseln möchten, ist es wichtig, dass Sie die Anforderungen Ihrer Sicherheitsteams mit der richtigen SOAR-Lösung in Einklang bringen. Da SOAR erhebliche Auswirkungen auf das Security Operations Center (SOC) haben kann, ist es wichtig, die verfügbaren Optionen zu verstehen, um die beste Entscheidung für die richtige SOAR-Lösung zu treffen. Ganz gleich, ob Sie Arbeitsabläufe anpassen, Integrationen erstellen und verwalten oder völlig neue Prozesse entwickeln, es ist wichtig zu wissen, wie Sie SOAR-Lösungen und -Anbieter vergleichen können. Hier sind die Kriterien für die Suche nach der besten SOAR-Lösung:

• Ermöglicht die einfache und flexible Erstellung von bidirektionalen Integrationen.
• Unterstützt gängige Methoden der Dateneingabe, wie Syslog, Datenbankverbindungen, APIs, E-Mail, Online-Formulare und Datenstandards wie CEF, OpenIOC und STIX/TAXII.
• Integriert einfach zu erstellende Workflows durch Hinzufügen von Aktionen in Playbooks zur Definition von Standardarbeitsanweisungen (SOPs) ohne Programmierkenntnisse.
• Enthält zusätzliche Funktionen zur Verwaltung des gesamten Lebenszyklus der Reaktion auf einen Vorfall und des Managements, z. B. die Nachverfolgung von Fällen, die Aufzeichnung von Maßnahmen, die während des Vorfalls ergriffen wurden, und die Erstellung von Berichten über kritische Metriken und KPIs.
• Orchestriert und automatisiert viele verschiedene Arten von Bedrohungsdaten.
• Unterstützt mehrere Instanzen auf einem einzigen Host und bietet eine genaue Datentrennung und Zugriffskontrollen für die Informationen der einzelnen Mandanten.

Warum sich Unternehmen für Sumo Logic Cloud SOAR entscheiden

Es gibt eine Vielzahl von Anbietern, die Lösungen mit der Bezeichnung SOAR anbieten. Eine Orientierungshilfe für den SOAR-Markt finden Sie in unserem SOAR-Käuferleitfaden. Bei einigen handelt es sich hauptsächlich um SIEM-Plattformen, die mit einigen grundlegenden SOAR-Funktionen ausgestattet sind. Andere sind SOAR-Lösungen, die nur in bestimmten Umgebungen oder mit bestimmten Arten von Infrastrukturen funktionieren.

Sumo Logic Cloud SOAR wurde von Grund auf so konzipiert, dass es die vollständige SOAR-Funktionalität in jeder Art von Umgebung bereitstellt – Private Cloud, Single Cloud, Multi-Cloud oder Hybrid Cloud. Hier ist eine Tabelle, die den Vergleich mit Sumo Logic Cloud SOAR zusammenfasst:

Wie die University of California, Davis die Reaktion auf Bedrohungen mit Cloud SOAR beschleunigt

Die Systeme der UC Davis, die sich an Forscher, Studenten, Dozenten und Mitarbeiter richten, erzeugen 10.000 Ereignisse pro Sekunde. Zusätzlich zu den Sicherheitsherausforderungen arbeitet die UC Davis mit Open-Access-Richtlinien und hat ein föderiertes IT-Governance-Modell, das auf dem gesamten Campus funktioniert.

Um einige Prozesse im Sicherheitsbereich zu automatisieren, hat das SOC-Team ein API-zentriertes Skripting-Modell entwickelt, das durch von Studenten entwickelte Python-Skripte unterstützt wird, aber einige Sicherheitslücken aufweist. UC Davis nutzt Sumo Logic Cloud SOAR, um seine Reaktion auf Bedrohungen zu beschleunigen und die Effizienz seines SOC mit einer hybriden Cloud-Architektur zu verbessern.

Das Open Integration Framework von Cloud SOAR Open Integration Framework macht es kompatibel mit den bereits vorhandenen Python-Skripten des SOC, so dass das Team keine neuen Integrationen erstellen muss. Cloud SOAR liefert nicht nur das fehlende Stück im SOC-Workflow, indem es sich in alle vorhandenen Technologien, die sie verwenden, integrieren lässt, sondern es erfüllt auch ihre Sicherheitsanforderungen.

Mit Cloud SOAR unterstützt die UC Davis die Forschung und gewährleistet gleichzeitig Sicherheitsrichtlinien und -verfahren, die die Universität vor potenziellen Angriffen schützen.

Cloud SOAR erleben

Mit Sumo Logic Cloud SOAR können Sicherheitsteams effizient und proaktiv arbeiten, unabhängig davon, wie viele Alarme sie jonglieren müssen, welche anderen Sicherheitstools sie mit ihrem SOAR verbinden müssen oder mit welchen Arten von Sicherheitsbedrohungen sie konfrontiert sind.

Sumo Logic Cloud SOAR stützt sich auf sein Open Integration Framework, um sich problemlos in die eingesetzte Umgebung einzufügen und sich nahtlos in verschiedene Sicherheitstechnologien, einschließlich SIEM, zu integrieren. Anstatt zwischen mehreren Dashboards zu manövrieren, verwendet Cloud SOAR detaillierte Informationen zu einem Fall (Vorfall) – von der Identifizierung bis zur Behebung – in einem einzigen Dashboard. So können Sicherheitsteams ihre Prozesse zur Reaktion auf Vorfälle mit voller Transparenz aufbauen und pflegen und Cloud SOAR sowie Cloud SIEMharmonisch nutzen.

Sehen Sie, wie Cloud SOAR schnell ein integraler Bestandteil Ihrer Infrastruktur werden kann – fordern Sie eine Demo von Sumo Logic Cloud SOAR an.