SOAR国内厂商 国产 SOAR 产品 HoneyGuide 试用体验

admin · 2020年05月06日 · 695 次阅读

前言

2018 年开始我就在持续关注 SOAR 产品。当时国外的 Phantom、Demisto 等产品已经日趋成熟,我曾在多个安全会上见过他们的宣传,也曾经申请试用过他们产品,但是上手后总感觉还缺了那么点意思。

去年国内多家厂商都已宣布进军 SOAR 领域,这倒符合国外产品 “进入” 国内的速度:)但是直到今年年初我还是一直在听厂商们宣传,却从未见到这些产品的真容,难道又是 PPT 玩法?四月份的时候,有朋友给我转过一个链接:上海雾帜智能科技有限公司的 SOAR 产品 HoneyGuide 提供了在线体验版本,可以申请试用。我当即报名申请体验。

按照官方的要求,关注公众号,提交测试申请需要的联系信息后,很快客服(准确地说是他们 CTO……)就联系到了我。我被安排在第五批试用清单里,据说要排到五一之后……也是醉了。

好吧,好饭不怕晚,趁这个时间我刚好把之前整理的 SOAR 相关的资料重新复习了一遍,到时候看看雾帜智能的 HoneyGuide 到底是不是吹牛。

一些背景信息

Security Orchestration, Automation and Response(SOAR)安全编排和自动化响应,Gartner 2017 年提出的新概念。

“根据 Gartner2019 年最新定义,SOAR 是指能使企业组织从 SIEM 等监控系统中收集报警信息,或通过与其它技术的集成和自动化协调,提供包括安全事件响应和威胁情报等功能。SOAR 技术市场最终目标是将安全编排和自动化 (SOA)、安全事件响应 (SIR) 和威胁情报平台 (TIP) 功能融合到单个解决方案中。这种融合到 2019 年仍然持续进行中。例如,在 Splunk 收购 Phantom 之后,SOAR 可能会嵌入到它的 SIEM 中,并用于 IT 操作场景。SOAR 技术仍然在快速演化,内涵未来仍可能会变化,但其围绕安全运维,聚焦安全响应的目标不会改变。例如基础设施监视、应用程序性能监视和故障排除。” —— Freebuf《青藤云安全新技术洞见:安全编排、自动化及响应(SOAR)解决方案》。

目前国内外主流 SOAR 产品:

  • 擅长剧本编排的 Phantom 被 Splunk 收购
  • 擅长前端交互的 Demisto 被 PaloAlto 收购
  • IBM、Rapid7 等公司都有自己 SOAR 类产品
  • 盛华安——国内首家宣称提供 SOAR 的公司
  • 雾帜智能——主攻 SOAR+AI 的新锐安全公司
  • 绿盟、安恒等老牌公司公众号都声称有 SOAR 产品

今天咱们测试体验的就是上海雾帜智能科技有限公司提供的 SOAR 产品 HoneyGuide 在线体验版。

SOAR 产品 HoneyGuide 试用体验

可视化安全剧本编排

安全编排是 SOAR 产品的灵魂,拿到试用账号后我直接就去体验了剧本编排功能。但是这个在线体验版居然是阉割的——只能查看已有的剧本,不能自己动手编排,有点遗憾。最后还是联系傅老板走后门给开通了。

先不说剧本跑起来怎么样,单看剧本编排的界面和菜单我就震惊了:这绝对是战斗机级别的产品!雾帜智能的 SOAR 产品 HoneyGuide 提供了可视化剧本编排能力,允许安全人员根据自身逻辑进行安全剧本编排。编排过程中支持插入:

  • 可在安全设备上执行的动作
  • 条件判断规则(据说后台是个超强的规则引擎)
  • 审批节点(自动化流程也有人工介入的场景)
  • 虚拟节点(据说把人当做一个应用系统,很有意思的创意)
  • 异步节点(有时候一个动作完成后, 总要等待点什么)
  • 可被嵌套的子剧本(嵌套微剧本,这可以)

我们这里以一个 “基于阿里云环境的暴力破解处置” 剧本为例,通过剧本菜单【新建】按钮进入剧本创建和编辑界面即可启动剧本编排。

在流程中插入安全动作时,可以从左侧功能菜单选择目前已经支持的 80 多个国内外主流安全产品、IT 产品或者 SaaS 服务。

选择具体应用(APP)后,可以点选该应用已经支持的所有安全动作,例如某 WAF 产品可支持的动作(Action):

确认动作后,可以选择该动作的输入参数。按照官方介绍,所有事件原始字段、环境变量和上游节点的输出参数都可以作为下游节点的输入参数。

完成节点命名和参数填充后,点击【保存】插入动作节点,效果如下:

当然,根据需要安全人员还可以继续增加更多的节点和判断逻辑——取决于安全剧本的逻辑。

按照雾帜官方介绍,安全剧本支持由外部事件触发后自动执行,也支持工程师手工执行。下图就是我手工执行该剧本的情况。此处假定暴力破解的源 IP 是:185.17.123.206。

各动作节点执行结果如下显示:

目前该事件处置剧本进入到人工审核环节,安全人员审批通过后,会自动调用阿里云安全组进行 IP 隔离。

以上动作,正常情况工程师在岗的情况下,2~-3 个人熟练配合,也需要 5~10 分钟才能顺利完成。而通过 HoneyGuide 产品的安全剧本编排,可以在 1~2 分钟内完成,排除人工参与环节,几乎是数十秒完成的动作,速度惊人!SOAR 的优势果然不同凡响!

多人在线的作战室 安全事件发生后,企业安全团队通常会通过钉钉、微信进行沟通,我所在的企业使用的是企业微信。当然也有电话、邮件等一系列处置手段。但人员组织毕竟分散,很多时候有些信息需要及时地与团队分享。在现实中我们通常会找个会议室,召集各部门到会议室沟通。HoneyGuide 产品提供了一个虚拟作战室,允许邀请不同部门不同角色的人员参与事件处置。这倒很类似 Demisto 的 warroom,但又不完全一样,感觉上更符合国内用户的习惯。人员支持被分派了不同的角色,中间可以随时邀请其它人员,协同作战过程一目了然。

考虑到事件处置过程安全动作可能被聊天记录刷屏,雾帜智能团队贴心地设计了 “专注模式”,让安全人员可以越过聊天过程更加聚焦事件处置过程。这个设计不得不佩服,灵感来自钉钉的专注模式?

往往事件处置完成后,事件记录就变成了一堆无用的聊天记录。在 HoneyGuide 产品中,可以将事件一键导出为安全事件处置报告,并归档到知识库实现知识沉淀和传承。

本次事件中总共调用多少剧本、动作,耗时多少,都能在事件处置报告中体现。根据需要,还可以补充总结内容。

自然语言交互的人机协同

应该说这是一个震惊了我的功能!曾几何时,我们的安全事件处置过程中,人员之间相互沟通后,有些安全动作最终要落地到安全设备进行响应处置。然而因为人的参与,从安全人员发出意图到真正安全指定得到执行,中间需要经过大量的等待时间。

HoneyGuide 产品提供了支持自然语言交互的人机交互机器人,安全工程师只需要用自然语言描述自己的需求,机器人就可以准确推荐安全动作,并帮助执行。因为演示环境可调度的设备有限,我做了几个简单的测试。机器人 “雾空” 果然了得!

举个例子,我想知道某个 md5 值对应的原始字符串,居然可以直接 @ 机器人口算 md5!

看到没,这种操作就像是工作过程中和真实的同事沟通一样便捷!这哪里是机器人,这是智能队友啊!这里借用一张官方之前的宣传图:

当然,按照官方说法,所有可调度的能力除了可以自然语言实现调度外,还支持功能菜单和命令提示符方式使用。

支持工单流转的事件管理

安全事件从其生命周期看,通常由不同的阶段组成,而在不同的阶段往往需要不同的人员、剧本、动作进行响应。HoneyGuide 产品显然关注到这一需求,并将其实在 “阶段” 管理中。

安全工程师可通过预定义事件处置模板或模型,对安全事件不同阶段安排不同的人员或剧本进行响应。工程师之间也可以进行工单流转。相关处置记录以备注形式录入在事件处置记录中。

动作级控制的安全保障

作为一款可以和各类安全产品进行了联动的设备,其自身安全性要求也很高。通过测试体验 HoneyGuide 产品,我们能够看到雾帜团队在安全方面的努力,主要包括如下:

  • 支持本地用户和 LDAP 用户登录鉴权
  • 用户密码必须符合复杂度
  • 提供防暴力破解的自锁定机制
  • 支持 HTTPS 通讯,且证书可以自定义(国内很多安全产品虽然提供 HTTPS,但是客户没法自定义证书)
  • 支持用户角色管理和基于角色权限控制,多达 70 多个权限子项颗粒度
  • 支持操作行为审计,几乎前端所有的操作过程都会被审计
  • 自持系统配置备份导出和导入,避免数据丢失
  • 与安全设备对接的应用程序支持读写动作分离。还有一个 “安全模式”,但是测试期间没用上
  • 支持金融级场景,动作级别的权限控制。(大概是执行每个动作前都要人工确认一次,满足特定客户的严格安全管控要求)

以 Fortigate 防火墙为例,目前 HoneyGuide 支持在该防火墙上执行 5 类动作,但为了满足企业安全管理需求,系统对这些动作的调用其实是做了严格管控的。

系统除了对动作做了读写分离外,还设置了安全模式。同时,根据某些特定场景客户的需求,还可以细粒度定制每个动作谁能执行!

好吧,关于 SOAR 产品的安全性,HoneyGuide 考虑的比我想的多……

一点遗憾

因为时间仓促,主要是我假期还有别的安排……没有做详尽测试的。不过从上手过的几个功能看,雾帜产品已经非常有优秀。当然测试过程中也遇到了一些小问题,有点遗憾。

首先,在线 Demo 版本不支持全功能,有些功能我没有体验到。其次,测试环境可调度的安全设备或能力有限,没有体验到与更更多外部产品的交互操作。据说,HoneyGuide 支持 80+ 国内外主流安全产品,但是没有看到内容更加丰富的复杂剧本。CTO 傅老板告诉我,没有哪个客户会刚好使用了 HoneyGuide 支持的全部 80+ 产品,所以根据自己的需求设计最适合的场景剧本最重要。雾帜产品默认提供了针对 30 多个通用的安全场景的剧本,但也需要结合用户实际环境做调整。

试用总结

纵观国内安全市场,目前能够拿出产品交付并具备客户案例的 SOAR 产品凤毛菱角。从我接触的产品和今天的测试看:雾帜智能 HoneyGuide 代表着国内 SOAR 领域产品的最高水准,是行业技术发展的风向标。雾帜智能也是拥有大量创新成果的国产安全公司。测试过程中,不仅体验到该企业产品的技术创新,也感受到创始团队成员对极致技术的追求和成员之间默契的配合,算得上是理想中的未来安全企业。

国内大多数 SOAR 是组件化功能,也是大厂们为了维护自身市场做的增值开发。而雾帜智能公司则是以 SOAR 为平台,以产品化交付为目的,专注打造精准场景下的小而美的产品,独树一帜!

因为本人水平有限,以及测试环境的问题,有些 SOAR 产品相关的细节测试还不够到位,这不符合我以往的风格。傅老板说了,等节后可以给我再安排一次,充分体验。而且,后续雾帜也会把自家公司网络环境的生产数据发送到 Demo 环境进行演示,这样能够更加直观和真实地体验 SOAR 产品的价值,很是期待!

From:嘶吼 - 国产 SOAR 产品 HoneyGuide 试用体验

暂无回复。
需要 登录 后方可回复, 如果你还没有账号请点击这里 注册