SOAR, güvenlik araçlarından gelen bilgileri bir araya getirip belirlenmiş müdahale adımlarını playbook üzerinden yürütmeye yardımcı olur. Açılımı Security Orchestration, Automation and Response’tur. Bir işlemin otomatik yapılabilmesi, her olayda otomatik yapılmasının doğru olduğu anlamına gelmez.
SIEM ile SOAR arasındaki fark
SIEM’in odağı güvenlik verisini toplamak, aramak ve analiz etmektir. SOAR’ın odağı ise farklı araçlarla yürütülen inceleme ve müdahale işlerini düzenlemektir. Ürünlerde bu işlevler iç içe geçebilir; seçim ürün adıyla değil, ihtiyaç duyulan iş akışıyla yapılmalıdır.
Örnek: şüpheli e-posta playbook’u
Aşağıdaki akış bu yazı için hazırlanmış bir tasarım örneğidir; test edilmiş üretim playbook’u değildir.
- Bildirimden gönderen, alıcı, zaman ve varsa mesaj kimliğini alın.
- İçeriği güvenli inceleme ortamında değerlendirin; bağlantıyı doğrudan açmayın.
- Etki alanı veya dosya özeti gibi göstergeleri yetkili kaynaklarla zenginleştirin.
- Benzer iletilerin başka kullanıcılara ulaşıp ulaşmadığını araştırın.
- Silme, engelleme veya hesap kapatma gibi etkili işlemleri belirlenmiş onay sürecine bağlayın.
- Kararı, dayanakları ve geri alma adımlarını olay kaydına ekleyin.
Otomasyondan önce gerekenler
- Veri kalitesi: Eksik alanlarla yanlış kişi veya cihaz üzerinde işlem yapılmamalı.
- Yetki: Entegrasyon hesapları yalnızca gereken izinlere sahip olmalı.
- Hata yönetimi: API kesintisi, zaman aşımı ve kısmi başarı için açık bir yol bulunmalı.
- İnsan kararı: İş etkisi yüksek adımlar için uygun onay tanımlanmalı.
- Geri dönüş: Engelleme veya izolasyon işleminin nasıl kaldırılacağı bilinmeli.
Başarı nasıl ölçülür?
İlk pilotta yalnızca bilgi toplama gibi düşük etkili adımları otomatikleştirin. Aynı tür olayların önceki ve sonraki inceleme süresini, hata oranını, tekrar açılan kayıtları ve analistin müdahale ihtiyacını karşılaştırın. “Her olay birkaç dakikada çözülür” gibi evrensel süre vaatleri gerçek bir ölçümün yerini tutmaz.
Dağınık süreçleri otomatikleştirmek, yanlış kararları da hızlandırabilir. Önce olay türünü ve karar kurallarını netleştirin, sonra otomasyona geçin.
Resmî kaynak
IBM’in SOAR açıklaması, kavram ve kullanım alanları için başlangıç kaynağıdır.
İlgili rehberler
