信息來源：51cto

2015年，Gartner將SOAR定義為一個平臺，它能夠利用機(jī)器可讀的有意義的安全數(shù)據(jù)來提供報告、分析和管理功能，以支持組織中的安全運營團(tuán)隊。正如每一項技術(shù)一樣，行業(yè)需求和灰色地帶為創(chuàng)新解決方案鋪平了道路。同樣，網(wǎng)絡(luò)安全也在不斷演變，也在不斷攀升。在這篇文章中，我們看看什么是SOAR，SOAR的各種組件，以及基于SOAR的安全運營解決之道。

1. 介紹

保護(hù)業(yè)務(wù)不受網(wǎng)絡(luò)攻擊的責(zé)任在于內(nèi)部安全運營團(tuán)隊。毫無疑問，攻擊者正在不斷改進(jìn)和升級他們的工具和技術(shù)。此外，通過繞過傳統(tǒng)的安全控制，他們可以很容易地滲透到業(yè)務(wù)網(wǎng)絡(luò)中。從業(yè)務(wù)的角度來看，這種情況會進(jìn)一步惡化，因為許多員工沒有遵守基本的安全實踐，最終成為社會工程攻擊的受害者。人是網(wǎng)絡(luò)安全生態(tài)系統(tǒng)中最薄弱的一環(huán)，人的失誤往往會導(dǎo)致企業(yè)實施安全控制的效率出現(xiàn)問題。

隨著攻擊的復(fù)雜性不斷增加，內(nèi)部安全運營團(tuán)隊的工作不會變得更容易。要成功地緩解安全事件，首先需要檢測它。目前檢測事件的平均時間已經(jīng)減少了，但對于APT的分析過程仍然是相當(dāng)長的時間。根據(jù)調(diào)研發(fā)現(xiàn)，金融公司平均需要幾十天來檢測一個事件，而一般消費類公司可能需要大約上百天。一旦發(fā)現(xiàn)，成功的對威脅進(jìn)行消除和恢復(fù)同樣是具有挑戰(zhàn)性的方面。隨著越來越多的監(jiān)管/法律要求，合規(guī)的負(fù)擔(dān)也成為焦點。

為了解決這些問題，企業(yè)構(gòu)建大量的安全分析類工具。但目前的現(xiàn)狀是在一天的大部分工作時間里，內(nèi)部運營團(tuán)隊的時間都浪費在了處理誤報上。

為了有效地監(jiān)視組織的安全性，工具和技術(shù)是一個方面。擁有適當(dāng)?shù)奈臋n化的策略和過程，以及以最大的優(yōu)化和效率執(zhí)行它們的能力是必要的。同樣，一些企業(yè)已經(jīng)編制了文檔，而許多企業(yè)只編制了某些策略，它們繼續(xù)依賴于臨時應(yīng)急響應(yīng)計劃。

當(dāng)企業(yè)尋找能夠從現(xiàn)有工具收集數(shù)據(jù)并將其顯示在一個集中的儀表板中，同時對生成的告警采取自動化操作的解決方案時，SOAR就會出現(xiàn)。

Gartner作為安全理論及實踐方面的權(quán)威，對SOAR進(jìn)行了全面的定義。它將SOAR定義為：使組織能夠收集來自不同來源的安全威脅數(shù)據(jù)和警報的技術(shù)，在這些技術(shù)中，可以利用人工和機(jī)器的組合力量來執(zhí)行事件分析和分類，從而幫助定義、確定優(yōu)先級，并根據(jù)標(biāo)準(zhǔn)工作流驅(qū)動標(biāo)準(zhǔn)化的事件響應(yīng)活動。SOAR工具允許組織以數(shù)字工作流格式定義事件分析和響應(yīng)過程，這樣一系列的機(jī)器驅(qū)動的活動就可以實現(xiàn)自動化。

2. SOAR-安全編排響應(yīng)自動化

2.1. Security Orchestration

安全編排是一種通過集成多個系統(tǒng)和平臺來調(diào)整不同的安全工具和技術(shù)的方法，以簡化安全流程，增強(qiáng)安全自動化以加速事件響應(yīng)。它有助于將復(fù)雜的事件響應(yīng)過程和任務(wù)轉(zhuǎn)換為一致的、可重復(fù)的、可度量的和有效的工作流。與人工協(xié)作相結(jié)合，安全編排將人員、流程和技術(shù)集合在一起，以提高安全操作團(tuán)隊的整體效率。

安全編排主要包含以下幾個方面：

? 能夠做出明智的決定并協(xié)調(diào)整個過程

? 響應(yīng)的規(guī)范化和自動化

? 充分考慮風(fēng)險動態(tài)及環(huán)境感知。

具體來說，在一個SOAR平臺上，它從各種工具收集日志及告警信息，關(guān)聯(lián)分析它們的緊迫度及危險性，啟動并執(zhí)行事件響應(yīng)，同時測量整個響應(yīng)過程。

例如，一個異常外聯(lián)事件報告給一個SOC。分析人員將針對來源主機(jī)進(jìn)行取證，以確認(rèn)主機(jī)內(nèi)是否存在異常進(jìn)程、異常服務(wù)、及異常病毒文件等行為以判定當(dāng)前主機(jī)是否已被攻陷，并獲取到所有的取證信息，這些取證過程都必須通過分析人員人肉來執(zhí)行。而在SOAR中，邊界防護(hù)安全系統(tǒng)、沙箱系統(tǒng)、EDR系統(tǒng)等將會被整合。一旦平臺收到異常外聯(lián)事件，業(yè)務(wù)流程將啟動來自各種來源的數(shù)據(jù)收集，并在某個統(tǒng)一視角下呈現(xiàn)形成APT威脅場景。如果SOAR擁有針對當(dāng)前APT威脅的自動化處置腳本，將自動啟動適當(dāng)?shù)氖录憫?yīng)操作，如果沒有，將由分析人員做出最終決定并基于本次響應(yīng)結(jié)果，固化成自動化響應(yīng)腳本，作為下次類似威脅場景自動化處置手段。整個安全運營業(yè)務(wù)流程通過協(xié)調(diào)涉及不同底層工具的整個流程，大大減少了上下文切換時間，即在不同工具之間切換所花費的時間。

理想情況下，安全編排應(yīng)當(dāng)提供與大多數(shù)的安全廠商集成功能。這種集成應(yīng)該是在數(shù)據(jù)輸入方面的雙向性，即，推送數(shù)據(jù)和提取數(shù)據(jù);以及豐富的特性，即，靈活和可定制化的API，以便充分利用供應(yīng)商產(chǎn)品的所有功能。編排必須有一個抽象層，分析人員可以使用這個抽象層為特定的API創(chuàng)建邏輯和抽象，然后通過SOAR工具將其轉(zhuǎn)換為API調(diào)用。

2.2. Automation

自動化，作為編制的一個子集，指的是在整個流程中或部分流程中，通過層次較高的任務(wù)(或稱為劇本)執(zhí)行大量任務(wù)。內(nèi)部安全團(tuán)隊可以使用它來改進(jìn)性能、準(zhǔn)確性和采取行動的時間。

自動化應(yīng)該通過一組標(biāo)準(zhǔn)的步驟、決策過程和指令來指導(dǎo)用戶。它必須要有足夠的靈活性，例如在關(guān)鍵分析或響應(yīng)的節(jié)點，將人的決策過程納入到自動化流程中。工作流應(yīng)該在預(yù)先確定的操作集上運行，并提供檢查狀態(tài)、執(zhí)行和審計的功能。

2.3. Response

SOAR解決方案的第三個組成部分使它在許多方面比傳統(tǒng)的安全解決方案更有效。Response處理事件的整個生命周期—警報的生成、其驗證、自動響應(yīng)、人工干預(yù)、緩解和報告。該組件由多個子組件組成，例如:

? 告警的處理和分類

SOAR從各種安全工具收集數(shù)據(jù)，并將它們顯示在一個集中的儀表板中，供內(nèi)部安全團(tuán)隊評估生成的告警。大多數(shù)此類告警由SOAR解決方案自動處理，因為它們要么是通用的，要么在許多情況下是誤報。根據(jù)收集到的數(shù)據(jù)，還對告警的緊迫性和危險性進(jìn)行了評級，以便需要人工干預(yù)的告警按順序從高度臨界開始處理。數(shù)據(jù)在整個過程中被收集形成證據(jù)鏈，并相應(yīng)地提供給各種安全分析人員及運營人員使用

? 記錄和證據(jù)支持

保持對所采取的行動的跟蹤，不管是自動的還是手動的，為了保持責(zé)任是必要的。

它們還在滿足法律/規(guī)章要求方面發(fā)揮作用。

? 調(diào)查與威脅情報

當(dāng)內(nèi)部安全團(tuán)隊分析警報時，SOAR工具應(yīng)具有在整個過程中存儲人工制品的能力。這些人工制品在按時間順序演示操作和審計期間的最終決策時非常有用。

來自多個來源的威脅情報數(shù)據(jù)以及SOAR解決方案提高了識別假陽性警報的效率。

? 案例管理及工作流程

為了快速處理生成的警報，SOAR解決方案應(yīng)該建議在需要手動或部分手動干預(yù)的情況下采取一組操作。建議包括劇本、api、腳本等。必須提供一個專注于工作流自動化和策略執(zhí)行的專用用戶界面。

3. 綠盟SOAR實踐

3.1. 綠盟SOAR：Orchestration

3.1.1. Out-of-box integration connectors

 

綠盟科技采用自研的SecDevOps框架，工程人員可以基于標(biāo)準(zhǔn)插件化模板編排不同設(shè)備廠商不同數(shù)據(jù)類型的數(shù)據(jù)接入模型，快速集成并實現(xiàn)插件的在線激活及接入，實現(xiàn)數(shù)據(jù)源的開箱即用的能力;

同時工程人員可以基于標(biāo)準(zhǔn)插件化模板編排不同設(shè)備廠商不同管控設(shè)備的管控模型，快速集成并完成管控設(shè)備插件的在線激活及接入，實現(xiàn)管控設(shè)備的開箱即用能力

3.1.2. 利用playbook實現(xiàn)響應(yīng)編排能力

利用系統(tǒng)提供的豐富的playbook SDK，通過playbook劇本的工程化編制，實現(xiàn)：

? 針對對威脅場景，依據(jù)當(dāng)前已收集的取證信息，根據(jù)威脅的攻擊方式、其對應(yīng)病毒傳播方式、緊迫程度等，制定的響應(yīng)策略(包括響應(yīng)動作，響應(yīng)動作的緊迫度/優(yōu)先級)實現(xiàn)對響應(yīng)動作的編排

? 針對威脅場景所采取的某一響應(yīng)動作，依據(jù)防護(hù)設(shè)備防護(hù)策略，進(jìn)行響應(yīng)動作的防護(hù)設(shè)備的選排過程，

3.2. 綠盟SOAR：Automation

3.2.1多層級自動化

 

針對已知威脅并固化了相應(yīng)playbook執(zhí)行腳本的案例，當(dāng)威脅發(fā)生時并送入到SOAR平臺中，SOAR引擎自動調(diào)用固化的playbook腳本，依據(jù)playbook固化的處理流程及處理優(yōu)先級，實現(xiàn)對威脅的全局封堵、被感染主機(jī)清除及被影響主機(jī)的加固等過程。

針對未知威脅尚未形成相應(yīng)的playbook執(zhí)行腳本時，系統(tǒng)在威脅研判過程逐步形成的威脅證據(jù)鏈，依據(jù)威脅的緊迫度及危險程度等條件，依據(jù)響應(yīng)優(yōu)先級(優(yōu)先級從高到低：阻斷傳播路徑-清除-加固)調(diào)用微場景化的通用playbook執(zhí)行腳本，實現(xiàn)對威脅的全局封堵、被感染主機(jī)的威脅清楚及被影響主機(jī)的加固過程等。微場景化的通用playbook腳本包括：

? 全局通用playbook腳本如：block-ip、block-url、ip-isolation等;

? 被感染主機(jī)通用威脅清除playbook如：kill-process、delete-file、kill-task、disable-service、clear-registor等

? 受影響主機(jī)的通用加固playbook如：disable-service、add-NF-rule等。

在通過微場景化的通用腳本處置完成并經(jīng)過驗證無誤后，系統(tǒng)可以根據(jù)已經(jīng)執(zhí)行的通用playbook進(jìn)行編排生成固化的針對當(dāng)前威脅案例的playbook，后續(xù)當(dāng)相同威脅進(jìn)入網(wǎng)絡(luò)中，SOAR則依據(jù)處置的優(yōu)先級及緊迫度，依次執(zhí)行固化后的響應(yīng)劇本。

3.2.2自動化playbook生成

綠盟科技采用blockly框架技術(shù)，以所見即所得的方式，基于圖形化界面以拖拽方式進(jìn)行playbook的自動化生成。 大幅度提升playbook的編排過程，并降低人為因素導(dǎo)致的playbook劇本編制過程的錯誤。

 

3.2.3自動化和人工處理的融合

 

在playbook的自動化執(zhí)行過程中，提供的playbook SDK API支持完整的工作流支持能力，在playbook執(zhí)行的任何節(jié)點，可以和人工workflow進(jìn)行交互，可以有效實現(xiàn)自動化處理和workflow人工處理的有效結(jié)合，保證運維的精準(zhǔn)。

3.3. 綠盟SOAR：Response

利用NDR/EDR的管控響應(yīng)能力，實現(xiàn)設(shè)備的自動化聯(lián)動，構(gòu)建全方位的響應(yīng)體系，實現(xiàn)對網(wǎng)絡(luò)及主機(jī)全面的安全自動化運營能力，包括威脅攔截，可疑訪問源封殺，被攻陷主機(jī)的隔離、威脅消除及未攻陷主機(jī)的加固等。

 

3.4. 圍繞SOAR的自動化響應(yīng)生態(tài)體系

 

由于綠盟科技采用的開放性SecDevOps框架模式，使得綠盟科技的SOAR平臺具備：

? 對任意廠家及任意類型數(shù)據(jù)源的快速集成接入;

? 對于任意廠家NDR/EDR設(shè)備的快速集成能力。

同時為支持第三方大量及豐富的處置已知威脅的playbook，我們在針對playbook 的SDK增加了面向第三方的SDK適配層，能快速兼容第三方廠家的playbook劇本，實現(xiàn)不同廠家playbook的跨平臺共享及自動化響應(yīng)

在和第三方的NDR/EDR對接中，綠盟SOAR平臺支持OpenC2的南向標(biāo)準(zhǔn)接口，在雙方依從Openc2規(guī)范性的情況下，綠盟SOAR平臺具備了無縫接入NDP/EDR的能力。

基于以上開放性的設(shè)計思路，我們會持續(xù)將SOAR平臺打造為 Open-To-Anyone的開放生態(tài)體系

4. 基于SOAR的安全運營

4.1. 綠盟安全運營服務(wù)目標(biāo)

綠盟安全運營服務(wù)，就借助于一系列的安全監(jiān)測、分析、響應(yīng)等技術(shù)平臺，特別是借助于SOAR的自動化及實時響應(yīng)能力，通過7*24小時持續(xù)性運營保障，切實做到在事前依據(jù)有效精準(zhǔn)的預(yù)測實現(xiàn)對網(wǎng)絡(luò)系統(tǒng)的加固、在事中依據(jù)精準(zhǔn)分析快速有效的做到攔截和封殺;事后依據(jù)完整精確的取證信息對系統(tǒng)進(jìn)行快速隔離、清除、加固，以保證客戶的網(wǎng)絡(luò)體系及業(yè)務(wù)的安全運行。

 

4.2. 綠盟自動化安全運營聯(lián)動體系

SOAR是自適應(yīng)安全架構(gòu)體系中的重要一環(huán)，依托SOAR的編排自動化響應(yīng)能力，才能最終實現(xiàn)安全運營從應(yīng)急響應(yīng)向持續(xù)的自動化響應(yīng)的邁進(jìn)。

 

在綠盟科技整個安全運營體系中，將MDR及SOAR的能力有機(jī)的和綠盟安全態(tài)勢平臺融合實現(xiàn)了安全運營從監(jiān)測、分析、研判、智能化決策、到編排及自動化響應(yīng)整個7*24小時自適應(yīng)持續(xù)閉環(huán)過程。

利用態(tài)勢平臺實現(xiàn)安全數(shù)據(jù)的監(jiān)測及智能化分析，利用關(guān)聯(lián)分析、機(jī)器學(xué)習(xí)等技術(shù)手段，結(jié)合威脅情報，對事件及行為進(jìn)行識別、推理及智能化預(yù)測過程;

基于MDR，依托威脅狩獵+主動取證等技術(shù)手段，實現(xiàn)事件、行為的軌跡取證、對響應(yīng)數(shù)據(jù)進(jìn)行收集確認(rèn)。

基于SOAR，針對已知威脅，通過已經(jīng)編排固化的playbook劇本，實現(xiàn)對威脅的自動化處置閉環(huán);對于未知威脅，根據(jù)MDR step-by-step的取證過程，依據(jù)威脅的緊迫度等實現(xiàn)響應(yīng)動作優(yōu)先級的，并針對響應(yīng)設(shè)備進(jìn)行編排，下發(fā)響應(yīng)動作;

依托NDR、EDR的聯(lián)動響應(yīng)能力，實現(xiàn)安全威脅攔截、封堵、清除，并最終實現(xiàn)系統(tǒng)加固以防止下一次被攻陷的可能。

4.3. 綠盟安全運營流程案例

利用以上的安全運營的聯(lián)動體系，綠盟科技不僅保證了安全運營流程的閉環(huán)過程，同時保證安全運營閉環(huán)的實時性和高效性，有效的做到了事中的攔截和封堵，事后的隔離、清除。并在下一次的攻擊前做到事前的加固。

如下是綠盟科技依托SOAR實現(xiàn)的全局封堵、失陷主機(jī)清除、未失陷主機(jī)加固的全流程：

 

5. 結(jié)束語

SOAR理念引入及逐漸發(fā)展完善，同時結(jié)合前期的威脅狩獵+主動取證等分析手段，將大幅度提升安全運營的效率，以上面挖礦威脅為例，在我們的平臺上實現(xiàn)從威脅的發(fā)現(xiàn)到響應(yīng)動作的完成，基本在秒級。這僅僅是開始，我們有理由相信，在未來的幾年里，SOAR作為自適應(yīng)安全體系中的一環(huán)，將發(fā)揮越來越重要的作用。