据Gartner称，SOAR包括“支持组织收集安全运营团队所监控输入的技术……SOAR工具支持组织以数字化工作流的形式定义事件分析和响应流程。”*
但SOAR究竟是什么？它是一套无所不知的技术，能够协同缓解威胁并执行分析，类似现实版的《终结者》天网技术，可以防范网络攻击吗？是否存在某种特定类型的“SOAR软件”？还是说，它是一种为网络安全提供建议方法的框架？
SOAR：构建稳健安全体系的框架
它远不只是一种工具或一套工具。SOAR是一种用于制定可靠安全计划的模型。它要求机构利用技术产品（例如安全信息和事件管理器或安全日志管理器等威胁情报工具），自动处理安全数据并开展分析。但SOAR还包含另一个部分，即安全编排，旨在促进人工干预。
假设安全信息和事件管理解决方案或类似工具识别出潜在事件。此时会创建一个完整的工作流，从该工具开始，最终由安全管理员处理。
在此流程中，将依据组织已制定（但愿如此）的安全策略评估该事件。评估因素可能包括：
- 已遭入侵的应用被指定为何种威胁级别？
- 根据该威胁级别，应采取哪些自动化措施来降低潜在损害？
- 还需要采取哪些进一步措施来解决该问题？
随后，安全管理员可以利用从取证数据中获得的威胁情报，立即调查并修复问题，同时相应调整安全策略，增强机构抵御未来攻击的能力。
因此，SOAR中的人为因素开始发挥作用。尽管SOAR十分重视自动化，但人员仍是其框架中的关键要素，因为他们是最后一道防线，并负责加强安全防护。将他们的专业知识与合适的安全解决方案相结合，有助于组织领先恶意攻击者一步。
自适应应用对SOAR模型至关重要
SOAR致力于构建高度自适应的安全体系，并利用数据持续改进组织应对威胁的方式。它倡导利用情报准确识别当前威胁、响应相关事件并从中吸取经验，从而不断调整和改进。
F5致力于帮助组织构建可自动调整安全状态的自适应应用。这些应用会收集并分析来自应用数据路径上各个接触点的信息。应用数据路径是指应用流量从应用传输到最终用户所经过的路径，例如用户首次访问应用时（需要进行应用身份验证）、通过互联网向外发送数据时（触发使用Web应用防火墙）等。
每个触点都会生成各自的遥测和分析数据。这些数据用于检测应用是否按预期运行，或是否可能存在某种异常，表明应用可能已遭入侵。
如果是后者，应用可以自动调整以缓解潜在威胁，从而满足SOAR对自动响应的要求。例如，在应用数据路径的某个位置突然检测到可疑流量激增。机器人管理解决方案可以根据访问应用的流量类型（例如人类流量或机器人流量）自动检测欺诈活动。随后，应用可以根据预定义的安全策略自动阻止可疑流量。
人机协同的力量
SOAR框架为构建自动化、响应迅速且敏捷的系统提供了出色的蓝图。该系统利用多种技术和人类专业知识来实施并持续改进安全策略，从而有效遏制当前及未来的威胁。
____
*Gartner术语表，SOAR，https://www.gartner.com/en/information-technology/glossary/security-orchestration-automation-response-soar
相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。