Laut Gartner umfasst SOAR „Technologien, die es Unternehmen ermöglichen, vom Security Operations Team überwachte Daten zu erfassen … Mit SOAR-Tools können Unternehmen Verfahren zur Analyse von Vorfällen und zur Reaktion darauf in Form eines digitalen Workflows definieren.“*
Aber was genau ist SOAR? Handelt es sich um eine Suite allwissender Technologien, die zusammenarbeiten, um Bedrohungen einzudämmen und Analysen durchzuführen – eine Art reale, an Terminator erinnernde Skynet-Technologie, die Cyberangriffe verhindert? Gibt es eine bestimmte Art von „SOAR-Software“? Oder ist es ein Framework, das einen empfohlenen Ansatz für die Cybersicherheit vorgibt?
SOAR: Ein Framework für robuste Sicherheit
Es ist weit mehr als nur ein Tool oder eine Sammlung von Tools. SOAR ist ein Modell zur Erstellung eines soliden Sicherheitsplans. Es sieht zwar vor, dass Behörden die Verarbeitung von Sicherheitsdaten und -analysen aus einer technischen Lösung automatisieren (zum Beispiel aus einem Threat-Intelligence-Tool wie einem SIEM-System oder einem Sicherheitsprotokoll-Manager). Doch SOAR umfasst noch einen weiteren Aspekt: die Sicherheitsorchestrierung, die menschliches Eingreifen fördert.
Stellen Sie sich vor, was passiert, wenn eine Lösung für das Sicherheitsinformations- und Ereignismanagement oder ein ähnliches Tool einen potenziellen Sicherheitsvorfall erkennt. Dadurch wird ein vollständiger Workflow-Prozess angestoßen, der beim Tool beginnt und bei einem Sicherheitsadministrator endet.
Im Rahmen dieses Prozesses wird der Vorfall anhand der Sicherheitsrichtlinien bewertet, die das Unternehmen (hoffentlich) bereits eingeführt hat. Dabei können unter anderem folgende Aspekte berücksichtigt werden:
- Welche Bedrohungsstufe wurde der kompromittierten Anwendung zugewiesen?
- Welche automatisierten Maßnahmen sollten auf Grundlage dieser Bedrohungsstufe ergriffen werden, um das Schadenspotenzial zu minimieren?
- Welche weiteren Maßnahmen sind erforderlich, um das Problem zu beheben?
Sicherheitsadministratoren können anschließend die aus den forensischen Daten gewonnenen Bedrohungsinformationen nutzen, um das Problem umgehend zu untersuchen und zu beheben sowie die Sicherheitsrichtlinien entsprechend anzupassen, damit die Behörde besser gegen künftige Angriffe geschützt ist.
Hier kommt also der menschliche Faktor von SOAR ins Spiel. Trotz der starken Ausrichtung auf Automatisierung sind Menschen ein wesentlicher Bestandteil des SOAR-Frameworks, da sie die letzte Verteidigungslinie bilden und für die Verbesserung der Sicherheit verantwortlich sind. Die Kombination ihres Fachwissens mit den richtigen Sicherheitslösungen kann Unternehmen dabei helfen, böswilligen Angreifern stets einen Schritt voraus zu sein.
Adaptive Anwendungen sind für das SOAR-Modell unverzichtbar
SOAR konzentriert sich auf den Aufbau eines äußerst anpassungsfähigen Sicherheitsprogramms, das mithilfe von Daten die Reaktion eines Unternehmens auf Bedrohungen kontinuierlich verbessert. Dabei wird der Einsatz von Threat Intelligence gefördert, um aktuelle Bedrohungen gezielt zu identifizieren, auf entsprechende Vorfälle zu reagieren, daraus zu lernen und sich im Laufe der Zeit anzupassen und weiterzuentwickeln.
Bei F5 konzentrieren wir uns darauf, Unternehmen bei der Entwicklung adaptiver Anwendungen zu unterstützen, die ihren Sicherheitsstatus automatisch anpassen können. Diese Anwendungen erfassen und analysieren Informationen von verschiedenen Berührungspunkten entlang des Anwendungsdatenpfads – also des Pfads, den der Anwendungsdatenverkehr von der Anwendung bis zum Endbenutzer nimmt. Dazu gehören beispielsweise der erstmalige Zugriff eines Benutzers auf die Anwendung (der eine Anwendungsauthentifizierung erfordert) oder die Übertragung von Daten über das Internet (wodurch eine Web Application Firewall zum Einsatz kommt) und vieles mehr.
Jeder dieser Berührungspunkte erzeugt eigene Telemetrie- und Analysedaten. Anhand dieser Daten wird festgestellt, ob die Anwendung wie erwartet funktioniert oder ob möglicherweise eine Anomalie vorliegt, die auf eine Sicherheitsverletzung hindeuten könnte.
Ist Letzteres der Fall, kann sich die Anwendung automatisch anpassen, um die potenzielle Bedrohung einzudämmen und damit die SOAR-Anforderung einer automatisierten Reaktion zu erfüllen. Angenommen, an einer Stelle im Anwendungsdatenpfad wird ein plötzlicher Anstieg verdächtigen Datenverkehrs festgestellt. Eine Bot-Management-Lösung kann betrügerische Aktivitäten automatisch anhand der Art des Datenverkehrs erkennen, der auf die Anwendung zugreift – beispielsweise Mensch oder Bot. Anschließend kann die Anwendung den verdächtigen Datenverkehr auf Grundlage vordefinierter Sicherheitsrichtlinien automatisch blockieren.
Die Stärke von Mensch und Maschine
Das SOAR-Framework ist eine hervorragende Blaupause für den Aufbau eines automatisierten, reaktionsschnellen und agilen Systems, das verschiedene Technologien und menschliches Fachwissen nutzt, um Sicherheitsrichtlinien durchzusetzen und kontinuierlich zu verbessern. Es bietet eine äußerst wirksame Abschreckung gegen aktuelle und zukünftige Bedrohungen.
____
*Gartner-Glossar, SOAR, https://www.gartner.com/en/information-technology/glossary/security-orchestration-automation-response-soar
Über den Autor
Ähnliche Blogbeiträge
F5 und Equinix bündeln ihre Kräfte, um die sichere Anwendungsbereitstellung in Multicloud-Umgebungen zu vereinfachen
F5 und Equinix ermöglichen es Unternehmen, sich weltweit sicher und zuverlässig mit ihren Partnern zu vernetzen.
API-Sicherheitsrisiken und -herausforderungen
Erfahren Sie, warum APIs für die moderne App-Entwicklung unverzichtbar sind und wie Sie sie vor den häufigsten Sicherheitslücken schützen. Profitieren Sie von Expertentipps und direkt umsetzbaren Strategien.
Ein Meilenstein für die Community Impact Grants von F5
F5 feiert das fünfjährige Bestehen seines innovativen Community Impact Grant-Programms, das gemeinnützige Organisationen, bei denen sich F5-Mitarbeitende ehrenamtlich engagieren, mit Fördermitteln in Höhe von 5.000 US-Dollar unterstützt.
Mit moderner, anpassungsfähiger und sicherer Gesundheits-IT Leben retten
Die IT-Investitionen im Gesundheitswesen tragen dazu bei, die schnellsten Wege zu einer besseren Versorgung zu finden, indem sie die medizinische Betreuung näher an die Patientinnen und Patienten bringen. Viele Gesundheitsunternehmen nutzen riesige Mengen an klinischen und anderen Gesundheitsdaten, um Entwicklungen zu verfolgen und übergreifende Trends in der gesamten Gesundheitslandschaft zu erkennen. Gleichzeitig nähern sie sich einer möglichst präzisen, individuell zugeschnittenen Versorgung an.
Verbesserung der Benutzer- und Administrationserfahrung durch sicheren hybriden Zugriff
Diese Kombination aus BIG-IP Access Policy Manager und Azure Active Directory ermöglicht Identitätsföderation, zentralisierten Benutzerzugriff (über Single Sign-on) und erhöhte Anwendungssicherheit (durch Multi-Faktor-Authentifizierung) für geschäftskritische Anwendungen sowie cloudbasierte und SaaS-Anwendungen. Dieser Ansatz vereinfacht die Einrichtung und Bereitstellung, reduziert den Verwaltungsaufwand und verbessert die gesamte Administration.
Das Internet der Sicherheitsdinge
Nein, das ist keine Tirade über die Sicherheit des IoT. Es ist eine Geschichte über Veränderung – genauer gesagt über Veränderung und ihre Auswirkungen auf die Sicherheit. Veränderung ist allgegenwärtig. Es gibt unzählige Axiome und Sprichwörter über Veränderung, also ist es ...