La orquestación, automatización y respuesta de seguridad (SOAR) es un tipo de herramienta que conecta productos de seguridad y ejecuta playbooks automatizados para clasificar alertas y responder antes a los incidentes.
Cómo funciona SOAR
Un centro de operaciones de seguridad recibe miles de alertas al día de cortafuegos, EDR, pasarelas de correo y un SIEM. Una plataforma SOAR se sitúa por encima de esas herramientas y combina tres capacidades:
- Orquestación: integraciones (conectores) con cientos de productos a través de sus API, de modo que un mismo flujo puede consultar un EDR, un servidor de correo y un proveedor de identidad.
- Automatización: playbooks que realizan pasos rutinarios sin intervención de un analista, como enriquecer una alerta con inteligencia de amenazas, comprobar hashes de archivos o detonar adjuntos en un sandbox.
- Respuesta y gestión de casos: aislar un equipo, deshabilitar una cuenta, bloquear un dominio y documentar cada acción en un ticket.
Entre los productos más conocidos están Splunk SOAR (antes Phantom), Cortex XSOAR de Palo Alto Networks (antes Demisto) y las funciones de automatización de Microsoft Sentinel. Muchas plataformas SIEM y XDR ya incluyen funciones SOAR.
Por qué importa SOAR
La fatiga de alertas y la escasez de personal son problemas centrales de cualquier SOC. Automatizar los pasos repetitivos reduce el tiempo de respuesta de horas a minutos, por ejemplo cuando se analiza un correo de phishing reportado y el mismo mensaje se elimina automáticamente de todos los buzones. Los playbooks también hacen que la respuesta a incidentes sea coherente y auditable.
Buenas prácticas
- Empezar por casos de uso frecuentes y bien conocidos, como la clasificación de phishing.
- Mantener una aprobación humana para acciones disruptivas como apagar servidores.
- Proteger con especial cuidado las credenciales de SOAR: la plataforma tiene acceso privilegiado a muchos sistemas.
- Revisar y probar los playbooks con regularidad a medida que cambian las herramientas y las amenazas.
