Оркестрация, автоматизация и реагирование (SOAR)
Простыми словами
SOAR действует как диспетчер процессов SOC: получает сигнал, запрашивает данные в других системах, выполняет разрешённые проверки и предлагает либо запускает следующие действия по плейбуку.
Как применяется
Команда описывает плейбуки, точки ручного подтверждения, права интеграций и обработку ошибок. SOAR применяют для обогащения индикаторов, заведения задач, блокировок, уведомлений и документирования шагов реагирования.
Пример применения
SIEM создаёт инцидент по подозрительному IP-адресу. SOAR проверяет адрес по источникам Threat Intelligence, находит затронутый актив, добавляет контекст в карточку и предлагает аналитику блокировку.
Не путать с
- SIEMSIEM собирает и коррелирует события
Как это работает
- СигналSOAR получает инцидент из SIEM, EDR, почтовой защиты или другого источника.
- ОбогащениеПлейбук запрашивает сведения об адресах, файлах, пользователях и затронутых активах.
- РешениеУсловия плейбука определяют автоматическое действие или передачу аналитику.
- ДействиеСистема блокирует индикатор, изолирует узел, создаёт задачу и сохраняет журнал выполнения.
Продолжить изучение
Связанные термины
Частые вопросы
SIEM создаёт контекст и инциденты из событий; SOAR использует этот сигнал для обогащения, маршрутизации и управляемых действий.
Что такое плейбук SOAR?Плейбук — формализованная последовательность проверок, условий, ручных подтверждений и действий для конкретного сценария.
Какие операции SOC можно автоматизировать?Обогащение индикаторов, создание задач, уведомления, запросы к системам, временные блокировки и документирование — при заранее заданных правах и обработке ошибок.