Definition SOAR (Security Orchestration Automation and Responses) Was ist SOAR?

Security Orchestration Automation and Responses, kurz SOAR stellt Software und Verfahren zur Verfügung, mit denen sich Informationen über Sicherheitsbedrohungen sammeln lassen. Auf deren Basis erfolgt eine automatische Reaktion. Ziel ist es, das Bedrohungs- und Schwachstellenmanagement in einem Unternehmen zu verbessern.

Anbieter zum Thema

Vogel IT-Medien GmbH

TXOne Networks

Arctic Wolf Networks Germany GmbH

Die Abkürzung für Security Orchestration Automation and Responses lautet SOAR. Es handelt sich um einen von Gartner geprägten Begriff, der Software und Verfahren beschreibt, um das Bedrohungs- und Schwachstellenmanagement in einem Unternehmen durch Automatisierung zu verbessern. Mit Hilfe von SOAR werden Informationen über Sicherheitsbedrohungen aus verschiedenen Quellen gesammelt und zentral bereitgestellt. Auf Basis dieser Informationen kann eine automatisierte Reaktion auf aktuelle Sicherheitsbedrohungen erfolgen, ohne dass Mitarbeiter aktiv werden müssen. Es wird eine Threat Intelligence Platform (TIP) und Incident Response Platform (IRP) für ein intelligentes Management der Unternehmens-Security bereitgestellt.

Ziele von SOAR

Wichtigstes Ziel von SOAR ist es, das Bedrohungs- und Schwachstellenmanagement in einem Unternehmen zu verbessern. Moderne IT-Infrastrukturen und Netzwerke sind zu komplex, um auf alle aktuellen Bedrohungslagen mit manuellen Eingriffen durch Sicherheitsexperten zu reagieren. Security Orchestration Automation and Responses soll die Überwachung der IT-Infrastruktur und die Abwehr von Bedrohungen effizienter machen, indem Daten über Security Issues an einer zentralen Stelle automatisiert gesammelt und verarbeitet werden. Dadurch verbessert sich der Incident-Response-Prozess und Ressourcen der Sicherheitsexperten werden frei. SOAR unterstützt bei der Behebung erkannter Schwachstellen und standardisiert das Vorgehen bei Sicherheitsvorfällen. Viele Systeme nutzen Verfahren der Künstlichen Intelligenz (KI) und des Machine Learnings.

Funktionsweise von Security Orchestration Automation and Responses

Die grundsätzliche Arbeitsweise von SOAR lässt sich in folgende drei Funktionskomponenten einteilen:

• die Datensammlung

• die Verarbeitung

• die automatisierte Reaktion

Während der Datensammlung trägt die SOAR-Plattform Informationen über Sicherheitsbedrohungen aus verschiedenen Quellen zusammen. Sie werden an zentraler Stelle aggregiert und einer automatisierten Verarbeitung zugeführt. Durch die automatisierte Verarbeitung werden IT- und Sicherheitsexperten von Überwachungsaufgaben entlastet. Intelligente Algorithmen scannen die vorliegenden Informationen beispielsweise nach Anomalien und bereiten sie so auf, dass eine automatische Reaktion darauf erfolgen kann. Der Reaktionspart der Lösung ist für die automatische Einleitung von Maßnahmen auf erkannte Security Events in Echtzeit verantwortlich. Gleichzeitig werden die Verantwortlichen über Vorfälle sowie Maßnahmen und deren Erfolg informiert.

Abgrenzung zwischen Security Orchestration Automation and Responses und Security Information Event Management (SIEM)

SOAR und SIEM haben einige Gemeinsamkeiten. Beide Lösungen sammeln Sicherheitsinformationen aus verschiedenen Quellen, dennoch lassen sie sich in ihrer Funktion deutlich voneinander abgrenzen. Während Security Orchestration Automation and Responses in der Lage ist, auf die gesammelten Informationen automatisch mit Maßnahmen zur Abwehr der Sicherheitsbedrohungen zu reagieren, konzentriert sich SIEM auf die Analyse der gesammelten Daten, das Erkennen von Bedrohungen und das Alarmieren. SIEM-Lösungen sind zwar sehr gut im Erkennen von Cyber-Angriffen, sie erfordern aber ein manuelles Eingreifen der Sicherheitsexperten zur Abwehr. In vielen Bereichen werden SOAR- und SIEM-Lösungen zur Verbesserung der Cyber Security miteinander kombiniert. Zudem ist die Tendenz erkennbar, dass Hersteller Lösungen miteinander verschmelzen, indem SIEM-Lösungen um SOAR-Funktionen erweitert werden.

(ID:46557609)