SOAR.

Gartner acuñó Security Orchestration, Automation and Response (SOAR) en 2017 para nombrar una clase convergente de herramientas que fusionaba la orquestación y automatización de seguridad, las plataformas de respuesta a incidentes (SIRP) y las plataformas de inteligencia de amenazas (TIP). SOAR se sitúa junto al SIEM y al EDR/XDR para operacionalizar la respuesta: usa conectores y API REST para consultar inteligencia de amenazas, IAM, endpoints, red y sistemas de tickets, y ejecuta playbooks codificados que hacen triaje de alertas, enriquecen indicadores, contienen hosts, deshabilitan cuentas y documentan el caso.

El valor es medible. Al automatizar pasos repetibles —detonación en sandbox, búsquedas de reputación, aislamiento de hosts— SOAR reduce el tiempo medio de respuesta (MTTR) e impone un proceso coherente, mientras que las puertas de aprobación humana protegen acciones de alto riesgo como el bloqueo de cuentas o los cambios de firewall. Un buen playbook es idempotente y registra cada paso para auditoría. Plataformas habituales son Splunk SOAR (antes Phantom), Palo Alto Cortex XSOAR (antes Demisto), las reglas de automatización de Microsoft Sentinel, Swimlane y Tines. Desde ~2024 Gartner ha integrado el SOAR autónomo en categorías más amplias de SecOps e "hiperautomatización", pero el patrón basado en playbooks sigue siendo la columna vertebral de los programas escalables de detección y respuesta.

flowchart TD
  A[Alerta del SIEM o EDR] --> B[SOAR ingiere y deduplica]
  B --> C[El playbook enriquece: TI, WHOIS, sandbox]
  C --> D{¿Malicioso?}
  D -->|No| E[Cerrar como falso positivo]
  D -->|Sí| F{¿Acción de alto riesgo?}
  F -->|No| G[Contención automática: aislar host, bloquear IOC]
  F -->|Sí| H[Puerta de aprobación del analista]
  H --> G
  G --> I[Registrar caso y actualizar ticket]