自动化与响应

• 小安 in 问答 2023年07月
  

  SOAR 与 SIEM有什么区别

  安全编排、自动化和响应 (SOAR) 技术有助于在单一平台内协调、执行和自动化各种人员和工具之间的任务。这使得组织不仅能够快速响应网络安全攻击，而且能够观察、理解和预防未来的事件，从而改善其整体安全状况。根据 Gartner 的定义，全面的 SOAR 产品旨在在三个主要软件功能下运行：威胁和漏洞管理、安全事件响应和安全运营自动化。SOAR 摄取警报数据，然后这些警报会触发自动化/编排响应工作流程或任务的剧本。然后，通过结合人类和机器学习，组织能够分析这些不同的数据，以便理解并优先考虑针对任何未来威胁的自动事件响应操作，从而创建更高效​​、更有效的方法来处理网络安全和改进安全运营。SIEM 代表安全信息和事件管理，它是一组服务和工具，可帮助安全团队或安全运营中心 (SOC) 收集和分析安全数据以及创建策略和设计通知。SIEM 工具使用收集、整合和关联数据的方式来管理安全信息和事件。虽然 SOAR 和 SIEM 都用于检测安全问题和收集数据，但它们之间存在显着差异。SOAR 使用自动化、编排和人工智能等技术来增强安全性，实现自动化和预测能力。SIEM 仅向安全分析师发送警报，而 SOAR 则使用自动化和编排来提供更丰富的背景信息和自动响应。安全编排和自动化为组织提供了更好的安全背景信息、更深入的调查能力和协作改进。

• 小安 in 问答 2023年07月
  

  SOAR是什么

  SOAR（security orchestration, automation and response）是一组兼容的软件程序，使组织能够收集有关安全威胁的数据并在很少或无需人工协助的情况下响应安全事件。SOAR平台的目标是提高物理和数字安全运营的效率。它包括安全编排、安全自动化和安全响应三个主要组件。安全编排通过连接和集成不同的内部和外部工具来实现，安全自动化利用收集的数据和警报来自动执行任务，安全响应提供了单一视图以规划、管理、监控和报告响应活动。SOAR平台的好处包括更快的事件检测和响应时间、更好的威胁背景、简化管理、可扩展性、提高分析师效率、简化运营、报告和协作以及降低成本。SOAR也面临一些挑战，如未能纠正更广泛的安全策略、合并的期望、集成复杂性、部署和管理复杂性以及缺乏或有限的指标。SOAR具有多种功能和用例，包括支持漏洞和威胁管理、安全事件响应和安全运营自动化。SOAR与SIEM（安全信息和事件管理）平台有所不同，但它们可以相互补充。SOAR供应商包括Anomali ThreatStream、D3 Security、Fortinet FortiSOAR等。