SOAR là gì?
Security Orchestration, Automation and Response: lớp công nghệ thực thi quy trình phản hồi thay cho phân tích viên của bạn, ngay giây cảnh báo phát ra.
Đọc 5 phút
- Kích hoạtT+0 s → T+2 s · Cảnh báo đi vào playbook
- Làm giàu dữ liệuT+2 s → T+11 s · Ngữ cảnh được thu thập
- Xác định phạm viT+11 s → T+17 s · Mức lan rộng được đo
- Cô lậpT+17 s → T+48 s · Máy trạm bị ngắt khỏi mạng
- Thông báoT+48 s → T+52 s · Đúng người được báo tin
- Ghi hồ sơT+52 s → T+118 s · Hồ sơ tự viết ra
Thời lượng của một kịch bản điển hình, mang tính minh họa. Đây là ví dụ về playbook của Microsoft, không phải cam kết của DMC DEFENSE.
Mục lục
Hai giờ mỗi cảnh báo, và phép tính vẫn không khớp
Một cảnh báo không phải là một sự kiện, nó là một quy trình. Kiểm tra xem có phải cảnh báo giả không, tìm chủ sở hữu máy trạm, xem lại tài khoản đã làm gì trong những giờ trước đó, quyết định có cắt hay không, cắt, báo cho người quản lý, viết báo cáo.
Từng thao tác đều đơn giản và không thao tác nào là thừa. Cộng lại, chúng chiếm khoảng hai giờ, và được lặp lại y hệt ở mọi sự cố cùng loại.
Vậy vấn đề không nằm ở độ khó của công việc mà ở khối lượng. Không kế hoạch tuyển dụng hợp lý nào bù được khoảng cách đó, vì đây không phải chuyện nỗ lực mà là chuyện số học.
Phép tính của một ngày
38
cảnh báo đã xác định cần xử lý mỗi ngày
120phút
quy trình thủ công cho mỗi cảnh báo
76giờ
khối lượng công việc phải hấp thụ mỗi ngày
76 giờ khối lượng công việc phải hấp thụ mỗi ngày
24 giờ thời gian phân tích viên có được, với ba người
Khoảng cách đó không khép lại bằng cách làm nhanh hơn. Nó khép lại khi ta thôi làm thủ công những gì đã được viết ra.
Điều gì diễn ra trong một trăm mười tám giây đó
Playbook chính là quy trình đó, viết một lần rồi để máy thực thi. Dưới đây là chuỗi thao tác thật của một playbook tài khoản bị chiếm, từng bước một, kèm thời gian mỗi bước.
Cảnh báo đi vào playbook
Sentinel phát sinh sự cố và quy trình khởi động ngay, không chờ phân tích viên mở console.
Ngữ cảnh được thu thập
Chủ sở hữu máy trạm, uy tín của địa chỉ, lịch sử đăng nhập của tài khoản, các sự cố trước: tất cả được gắn vào hồ sơ.
Mức lan rộng được đo
Playbook kiểm tra xem có tài khoản hay máy trạm nào khác cùng dấu hiệu, rồi tính mức độ nghiêm trọng.
Máy trạm bị ngắt khỏi mạng
Cô lập máy, thu hồi các phiên đang mở, buộc đổi mật khẩu ở lần đăng nhập kế tiếp.
Đúng người được báo tin
Nhân viên, người quản lý và ca trực nhận cùng một thông điệp, kèm danh sách những việc đã làm.
Hồ sơ tự viết ra
Mọi hành động đều có dấu thời gian trong sự cố: ai, làm gì, khi nào, kết quả ra sao. Không phải nhập lại.
Sự cố đã xử lý
Máy trạm đã cô lập, phiên đăng nhập đã thu hồi, hồ sơ đã đầy đủ. Sau đó phân tích viên mở hồ sơ để quyết định bước tiếp theo, trên chất liệu đã sẵn sàng.
Tổng
Việc gì giao cho máy, việc gì vẫn thuộc về bạn
SOAR không sinh ra để quyết định thay bạn. Nó nhận những thao tác đã biết trước câu trả lời, và trả lại cho phân tích viên thời gian để xử lý những gì chưa biết.
Do playbook thực thi
- Thu thập ngữ cảnh quanh một cảnh báo
- Đối chiếu một địa chỉ hoặc tệp với cơ sở dữ liệu mối đe dọa
- Cô lập máy trạm và thu hồi phiên đang mở
- Mở, cập nhật và đóng hồ sơ
- Báo đúng người vào đúng thời điểm
- Ghi lại dấu vết có dấu thời gian cho mọi hành động
Dành cho phân tích viên của bạn
- Quyết định khi sự cố vượt ra ngoài kịch bản đã viết
- Cân nhắc một lệnh cắt có thể làm ngưng hoạt động trọng yếu
- Điều tra những gì chưa quy tắc nào lường trước
- Viết và rà soát chính các playbook
Bốn ràng buộc được gỡ bỏ
Bốn hiệu quả này không nối tiếp nhau, chúng cùng xuất hiện ngay khi quy trình được viết ra. Mỗi hiệu quả gỡ một ràng buộc khác nhau của công việc phản hồi.
Độ trễ
Phản hồi không còn chờ bạn
Việc cô lập bắt đầu ngay giây cảnh báo phát ra, kể cả ban đêm và cuối tuần, không cần phân tích viên ngồi trước màn hình.
Chênh lệch giữa hai lần xử lý
Cùng một thao tác, bất kể là đêm nào
Quy trình không còn phụ thuộc vào ai trực hay mấy giờ. Nó được viết, rà soát và quản lý phiên bản như mã nguồn.
Khối lượng
Năng lực thôi phụ thuộc quân số
Số cảnh báo xử lý được không còn bị giới hạn bởi số phân tích viên, mà bởi số quy trình đã viết.
Bằng chứng
Dấu vết được ghi mặc định
Mỗi hành động để lại một dòng có dấu thời gian, trình được cho kiểm toán viên NIS2 hay ISO 27001 mà không phải dựng lại sau.
Playbook không phải là một script
Tự động hóa hai ba thao tác bằng script thì đội nào cũng làm được. Điều làm nên playbook là cách nó xử sự khi tình huống không diễn ra như dự tính.
| Tình huống | Một script | Một playbook SOAR |
|---|---|---|
| Khi một API ngừng trả lời | Nó dừng lại, thường không ai hay biết. | Nó thử lại, chuyển sang đường khác, và ghi rõ bước lỗi vào hồ sơ. |
| Khi quyết định ảnh hưởng tới hoạt động kinh doanh | Nó vẫn chạy, hoặc không chạy gì cả. | Nó tạm dừng, xin phê duyệt của một người có tên, rồi chạy tiếp đúng chỗ đã dừng. |
| Khi kiểm toán viên hỏi ai đã làm gì | Phải đọc lại nhật ký thực thi, nếu còn giữ. | Mỗi bước đều có dấu thời gian trong hồ sơ, kèm nguyên nhân kích hoạt và kết quả. |
| Khi mối đe dọa thay đổi | Phải tìm lại script và sửa bằng tay. | Quy trình được quản lý phiên bản, kiểm thử, rồi triển khai lại cho mọi sự cố cùng loại. |
Đọc thêm
Định nghĩaBài viết · 4 phút
SIEM là gì?
Security Information and Event Management: cách tập trung, phân tích và tương quan các sự kiện bảo mật để phát hiện mối đe dọa theo thời gian thực.
Đọc bài viếtĐịnh nghĩaBài viết · 3 phút
SOC Hiện đại là gì?
Khám phá cách doanh nghiệp bảo vệ hiệu quả trước các mối đe dọa mạng nhờ Trung tâm Điều hành Bảo mật hiện đại, kết hợp chuyên môn con người và công nghệ tiên tiến.
Đọc bài viết
Playbook của bạn, do chuyên gia của chúng tôi viết và duy trì
Chúng tôi thiết kế quy trình phản hồi trong Microsoft Sentinel, kiểm chứng trên chính các sự cố thật của bạn, và cập nhật chúng theo diễn biến mối đe dọa.