Orquestación de seguridad

La orquestación, automatización y respuesta de seguridad ( SOAR ) es un conjunto de tecnologías de ciberseguridad que permiten a las organizaciones responder automáticamente a ciertos incidentes. Recopila información monitorizada por el equipo de operaciones de seguridad, como alertas del sistema SIEM , TIP y otras tecnologías de seguridad, y ayuda a definir, priorizar e impulsar actividades estandarizadas de respuesta a incidentes . ^{[ 1 ] [ 2 ] [ 3 ]}

Las organizaciones utilizan plataformas SOAR para mejorar la eficiencia de las operaciones de seguridad física y digital. ^{[ 4 ]} SOAR permite a los administradores gestionar las alertas de seguridad sin necesidad de intervención manual. Cuando una herramienta de red detecta un evento de seguridad, SOAR puede alertar al administrador o realizar otra acción predefinida, según la naturaleza del evento. ^{[ 2 ]}

La "orquestación" conecta las diferentes herramientas y sistemas de seguridad del sistema de información . Integra aplicaciones personalizadas con herramientas de seguridad integradas, de modo que todas funcionen conjuntamente. También conecta diversos puntos finales, cortafuegos y herramientas de análisis de comportamiento . ^{[ 5 ]}

La automatización toma la enorme cantidad de información generada a través de la orquestación y la analiza mediante procesos de aprendizaje automático . SOAR gestiona muchas tareas manuales, como el análisis de registros, y también puede gestionar solicitudes de tickets, comprobaciones de vulnerabilidades y procesos de auditoría. ^{[ 5 ]}

La "respuesta a incidentes" permite a los equipos de seguridad reaccionar cuando se detecta una amenaza potencial. Este componente también gestiona de forma automatizada las actividades posteriores al incidente, como el intercambio de información sobre amenazas. ^{[ 5 ]}

SOAR permite a los administradores de seguridad definir los incidentes potenciales y la respuesta, gracias a los playbooks y runbooks . ^{[ 2 ]}

Un manual de procedimientos es un documento que describe cómo verificar un incidente de ciberseguridad y cómo se debe responder a él. Su propósito es documentar los pasos a seguir en el procedimiento operativo estándar. También puede servir como respaldo manual en caso de que falle el sistema SOAR. ^{[ 2 ]}

Un runbook implementa los datos del playbook en una herramienta automatizada para que realice acciones predefinidas para mitigar la amenaza. ^{[ 2 ]}