ГК Softline – о том, как автоматизация помогает повысить безопасность на фоне роста кибератак
Изображение: OpenAI
Нехватка кадров подталкивает компании автоматизировать реагирование. Рассказываем, как решают проблему инструменты класса SOAR.
Грамотное применение SOAR (Security Orchestration, Automation and Response, класс программных решений) способно высвободить существенный временной ресурс команды за счет автоматизации. SOAR-системы могут агрегировать и обрабатывать ИБ-сигналы из множества разных источников. При этом важно понимать, что автоматизация и применение искусственного интеллекта меняют форму реализации процессов, но не их суть. Как и прежде, необходимо создавать правила корреляции, разрабатывать плейбуки и выстраивать интеграции.
Эксперты в Softline предполагают, что в перспективе основные классы систем ИБ для защиты ИТ-инфраструктуры (SIEM, XDR, SOAR) могут быть объединены в единую экосистему. Для центров мониторинга SOC платформы класса SOAR открывают широкие возможности для разработки механизмов по сокращению времени реагирования на инциденты.
При регистрации подозрительной сетевой активности SOAR-платформа позволяет автоматически обогатить событие данными об атакующих адресах, а при необходимости заблокировать их на межсетевом экране. Для бизнеса это означает переход от реагирования постфактум к предотвращению ущерба в моменте, что кратно снижает потенциальные потери от простоя или утечки данных.
В некоторых сценариях без верификации действий конечным пользователем невозможно определить легитимность события. С помощью SOAR оповещение о событии, уже содержащее сформированные рекомендации по реагированию, может быть направлено непосредственно ответственному лицу, минуя стандартные и часто многоступенчатые линии мониторинга. Причем для обеспечения максимальной оперативности каналы связи могут гибко настраиваться, например, переключаться с электронной почты на мессенджеры в зависимости от времени суток. Это напрямую влияет на скорость восстановления и, как следствие, на финансовые показатели.
Для крупных компаний сложность процессов автоматизации определяется масштабами инфраструктуры и спецификой задач. Мы в Softline видим, что в крупной распределенной среде количество коннекторов и внешних систем, интегрируемых с SOAR-платформой, может исчисляться десятками. Такие системы могут собирать события напрямую с источника, получать информацию об активах, обогащать данные, отправлять и принимать уведомления по разным каналам связи. Руководителям ИБ-департаментов в больших организациях важно «подружить» все средства защиты информации с возможностью управления процессами из единой точки.
