SOAR技术文章 【转载】SOAR 百问千答-03 期(雾帜智能)

jokerface · 2020年08月31日 · 最后由 yunniao789 回复于 2020年09月01日 · 114 次阅读

我们将以 “AI 人机协同 +SOAR” 产品HoneyGuide的身份持续连载与 SOAR(Security Orchestration, Automation and Response 安全编排、自动化和响应)相关的系列问题和解答。

为了不耽误您的时间,SOAR 百问千答活动所有回答尽量做到言简意赅,减少赘述。希望您喜欢这个风格:)

HoneyGuide#SOAR-FAQ-05 问:SIEM 和 SOAR 的区别是啥?

答:

SIEM:Security Information & Event Management 安全信息事件管理系统,通常以关联分析规则引擎为核心,对接收到的企业内部所有 IT、网络、安全等安全信息或日志(Security Event)进行分析,发现真实的安全事故(Security Incident)。通常涉及到:日志收集、聚合、归并、过滤、关联、告警、工单、响应、报表、可视化等,其核心是安全威胁精准识别。

SOAR:Security Orchestration, Automation & Response 安全编排、自动化与响应,以安全剧本编排为核心,组合调度各类安全产品和能力,加速安全事件的应急响应处置。通常涉及:事件触发、剧本编排、剧本调度和执行、动作执行、处置跟踪等,其核心是安全响应自动执行。

安全事件响应本应是 SIEM/SOC 平台的功能模块,因此也有相关的安全厂商在自身 SIEM 产品中集成了 SOAR 能力。这类架构中 SOAR 更多地是与自身 SIEM 做深度整合,对 SIEM 有较高的依赖,缺乏通用性。作为独立的产品的 SOAR,可以更加专注于编排核心能力,和外部产品接入能力。

独立产品实现的 SOAR 能够更加专注于高效的自动化响应和运营,也减少了部分客户为了使用 SOAR 而购买一个臃肿的 SIEM/SOC 的尴尬。越来越多的企业开始将 SIEM/SOC 与 SOAR 分离,以发挥各自独特的优势。

注:通常安全解决方案要求产品异构,完全依靠某个厂商的全家桶产品是几乎不可能的。

HoneyGuide#SOAR-FAQ-06 问:SOAR 产品如何调用外部安全能力?

答:

为了能够与主流安全产品对接,实现在 SOAR 产品中对外部安全能力的编排,SOAR 产品必须支持以各类方式与外部能力进行交互(读取数据下发策略获取状态),即使是没有提供标准 API 的产品。

相对来说,国外产品较为规范,有标准的 API 接口和文档,但国内产品这方面总体上还比较欠缺。对于有标准 Restful API 的产品,SOAR 产品能够比较快地完成适配开发;而那些无法直接用 API 操作的设备往往是接入的难点。针对此类设备,通常可以考虑通过标准 HTTP(S)SOAPSSHTelnetWebSocketSNMPJDBC等方式进行交互。

下图是雾帜智能产品与外部系统对接方式的案例:

注:对接一款产品不是通过 SOAR 产品完全实现一个目标系统原有的所有功能,而是去实现在应急响应过程中实际要执行的个别功能。

好了,本期就到这里。如果您有任何 SOAR 方面的问题,请给我们留言,HoneyGuide 一定会认真答复。

关于雾帜智能

雾帜智能:

2019年4月10日,上海雾帜智能科技有限公司正式成立;公司专注于将人工智能技术和现实应用场景结合,通过显著提升自动化能力助力企业解放生产力。

HoneyGuide:

2019年8月21日,上海雾帜智能科技有限公司在北京望京凯悦酒店举行主办了 “智无界.AI 无极 雾帜智能风险决策平台发布会”。一款以 SOAR+AI 作战室为核心的安全应急响应类产品 HoneyGuide 正式面世:

  • 用 “AI 机器人” 和 “安全作战室” ,解决人人、人机的协同问题;
  • 用 “安全剧本” 将应急响应中的各个单点动作串联起来,实现流程自动化,解决安全事件响应中严重依赖人工操作的问题。

HoneyGuide 在 “自然语言交互”、“安全动作推荐” 和 “安全剧本智能优化” 等方面了引入了人工智能因素。通过在关键环节使用 AI 技术,产品大幅提高了企业安全应急响应速度,全面降低企业安全运营的成本。

往期参考:

本文转载于:

SOAR 百问千答-03 期(雾帜智能)

需要 登录 后方可回复, 如果你还没有账号请点击这里 注册