1 Einführung

SOAR, Security Orchestration, Automation and Response, ist das jüngste in einer Reihe von mit Security verbundenen Modewörtern, die sich auf dem Markt verbreiten. Obwohl SOAR erst in den letzten zehn Jahren aufgekommen ist, ist es für viele Unternehmen zu einem unverzichtbaren Tool geworden. KMUs (kleine und mittlere Unternehmen) können die Vorteile der SOAR-Funktionalität nutzen, die sowohl von MSSPs (Managed Security Service Providers) als auch von einigen SOAR Anbietern bereitgestellt wird, wenn sie diese nicht selbst betreiben möchten.

Aber was bedeutet das für Unternehmen? - In einem Unternehmen, das über ein SOC (Security Operation Centre) verfügt, das mit Security-Analysten besetzt ist, wird es wahrscheinlich zwei immer wieder vorkommende Themen geben. Sie haben mit einem hohen Aufkommen an Sicherheitswarnungen zu kämpfen, während gleichzeitig ein Mangel an qualifizierten Fachkräften im Bereich der Cybersicherheit herrscht.

Unternehmen kämpfen mit einem hohen Aufkommen an Sicherheitswarnungen, während gleichzeitig ein Mangel an qualifizierten Fachkräften im Bereich der Cybersicherheit herrscht.

Wenn man dann noch bedenkt, dass es im Durchschnitt sechs bis neun Monate dauert, bis ein Sicherheitsvorfall entdeckt wird, und dass die durchschnittlichen Kosten für einen Sicherheitsvorfall oder eine Datenpanne auf 4 bis 9 Millionen US-Dollar geschätzt werden, dann können die Kosten ziemlich hoch sein. Es ist also nicht verwunderlich, dass Unternehmen nach kosteneffizienten Möglichkeiten zur Verbesserung der Situation suchen.

Der Begriff SOAR, der 2015 geprägt wurde, stand ursprünglich für "Security Operations, Analytics and Reporting". Der inzwischen allgemein akzeptierte Begriff "Security Orchestration, Automation and Response" spiegelt jedoch besser wider, wie die unterstützende Familie von Tools innerhalb einer Organisation eingesetzt wird, darunter:

• Tools für das Vulnerability Management (VM) [Schwachstellenmanagement], die Schwachstellen erkennen und deren Behebung verwalten.
• Tools zur Erkennung von Bedrohungen, die Netzwerke, Cloud-Dienste, Endpunkte und den Zugriff auf Daten überwachen, um Anomalien zu erkennen, die möglicherweise auf ein Problem hinweisen, das eine weitere Untersuchung erfordert.
• Technologien zur Verwaltung der Reaktion auf Sicherheitsvorfälle, die ein Unternehmen im Falle eines vermuteten oder tatsächlichen Sicherheitsvorfalls durchführen wird. Diese werden oft als "Playbooks" bezeichnet.
• Tools, die die Automatisierung und Orchestrierung von Prozessen und Berichten innerhalb eines SOC unterstützen.
• Ticketing-Tools, die die Untersuchung durch die zuständigen Mitarbeiter unterstützen, um erkannte Probleme zu untersuchen, über sie zu berichten und gegebenenfalls zu beheben.

Ein modernes SOAR-System zielt darauf ab, einen einheitlichen Ansatz zur Verfügung zu stellen, der die oft disparaten Tools und Prozesse zu einem kohärenten Ansatz für die Verwaltung des enormen Aufkommens von Warnungen, Bedrohungen und anderen Datenquellen zusammenfügt, die dann nach Prioritäten geordnet werden.

SOAR ergänzt auch Tools wie Security Information and Event Management (SIEM), das die Sammlung von Ereignisprotokollen zentralisiert, um Sicherheitsbedrohungen zu erkennen, zu analysieren und darauf zu reagieren, sowie Extended Detection and Response (XDR), das darauf abzielt, Endpoint Protection Detection and Response (EPDR) und Network Detection and Response (NDR) Tools zu vereinheitlichen, um potenzielle Bedrohungen nahezu in Echtzeit zu entschärfen.