CyberGlossary

防御と運用

SOAR

定義

検知・エンリッチメント・対応アクションをプレイブックとして連結し、複数のセキュリティツール上で実行することで SOC のワークフローを自動化・オーケストレーションするプラットフォーム。

Security Orchestration, Automation and Response(SOAR)は、SIEM や EDR/XDR と並んで配置され、インシデント対応を実運用化します。コネクタや API を用いて脅威インテリジェンス、IAM、エンドポイント、ネットワーク、チケット管理システムを呼び出し、コード化されたプレイブックがアラートのトリアージ、指標のエンリッチメント、ホストの隔離、アカウント無効化、ケースの記録まで自動化します。SOAR はアナリストの定型作業を削減し、プロセスの一貫性を強制し、繰り返し可能なステップを自動化することで MTTR を改善する一方、高リスクなアクションでは人間の判断を残します。代表的な製品として Splunk SOAR、Palo Alto Cortex XSOAR、Microsoft Sentinel の自動化ルール、Tines などがあります。

例

  • URL をサンドボックスで爆発させ、VirusTotal に問い合わせ、メールを隔離するフィッシングトリアージ用プレイブック。
  • ランサムウェアの挙動を検知すると、EDR でホストを隔離しユーザーのパスワードをリセットする XSOAR プレイブック。

関連用語