¿Qué es SOAR y cómo pueden aprovecharlo las agencias en sus iniciativas de ciberseguridad?

Lyle Marsh

Según Gartner, SOAR engloba «tecnologías que permiten a las organizaciones recopilar datos supervisados por el equipo de operaciones de seguridad… Las herramientas SOAR permiten a una organización definir procedimientos de análisis y respuesta ante incidentes en un formato de flujo de trabajo digital».*

Pero ¿qué es exactamente SOAR? ¿Es un conjunto de tecnologías omniscientes que trabajan juntas para mitigar amenazas y realizar análisis, una especie de tecnología Skynet de la vida real al estilo de Terminator que evita los ciberataques? ¿Existe algún tipo concreto de «software SOAR»? ¿O es un marco que proporciona un enfoque recomendado para la ciberseguridad?

SOAR: un marco para una seguridad sólida

Es mucho más que una simple herramienta o un conjunto de herramientas. SOAR es un modelo para crear un plan de seguridad sólido. Sí, insta a los organismos a automatizar el procesamiento de los datos y análisis de seguridad procedentes de una solución tecnológica (por ejemplo, una herramienta de inteligencia sobre amenazas, como un sistema de gestión de eventos e información de seguridad o un gestor de registros de seguridad). Pero SOAR también incluye otro componente —la orquestación de la seguridad— que fomenta la intervención humana.

Piense en lo que ocurre cuando una solución de gestión de eventos e información de seguridad o una herramienta similar identifica un posible incidente. Se crea un proceso de trabajo completo que comienza con la herramienta y termina con un administrador de seguridad.

Dentro de ese proceso, el incidente se evalúa de acuerdo con las políticas de seguridad que la organización ya haya implantado (esperemos). Entre los aspectos que se deben tener en cuenta se incluyen:

• ¿Cuál es el nivel de amenaza asignado a la aplicación que se ha visto comprometida?
• En función de ese nivel de amenaza, ¿qué acciones automatizadas deberían llevarse a cabo para mitigar los posibles daños?
• ¿Qué otras medidas deben adoptarse para solucionar el problema?

A continuación, los administradores de seguridad pueden utilizar la inteligencia sobre amenazas obtenida a partir de los datos forenses para investigar y solucionar el problema de inmediato, así como ajustar las políticas de seguridad en consecuencia para reforzar las defensas de la agencia frente a futuros ataques.

Así es como entra en juego el factor humano de SOAR. A pesar de todo el énfasis que pone en la automatización, las personas son un elemento esencial del marco SOAR, ya que constituyen la última línea de defensa y son responsables de mejorar la seguridad. Combinar su experiencia con las soluciones de seguridad adecuadas puede ayudar a las organizaciones a mantenerse un paso por delante de los adversarios maliciosos.

Las aplicaciones adaptativas son esenciales para el modelo SOAR

SOAR se centra en crear un programa de seguridad con una gran capacidad de adaptación que utiliza los datos para mejorar continuamente la forma en que una organización responde a las amenazas. Fomenta el uso de la inteligencia para identificar las amenazas actuales, responder a esos incidentes, aprender de ellos y adaptarse y mejorar con el tiempo.

En F5, nos centramos en ayudar a las organizaciones a crear aplicaciones adaptativas capaces de ajustar automáticamente sus niveles de seguridad. Estas aplicaciones recopilan y analizan información procedente de distintos puntos de contacto a lo largo de la ruta de datos de la aplicación —el recorrido que sigue el tráfico desde la aplicación hasta el usuario final—, como cuando un usuario accede por primera vez a la aplicación (lo que requiere autenticación), cuando se envían datos a través de Internet (lo que activa el uso de un firewall de aplicaciones web) y en otras situaciones.

Cada uno de estos puntos de contacto genera sus propios datos de telemetría y análisis. Estos datos se utilizan para detectar si la aplicación funciona según lo previsto o si existe algún tipo de anomalía que pueda indicar una brecha de seguridad.

Si se trata de esto último, la aplicación puede adaptarse automáticamente para mitigar la posible amenaza, cumpliendo así el requisito de SOAR de ofrecer una respuesta automatizada. Supongamos que se detecta un aumento repentino del tráfico sospechoso en algún punto de la ruta de datos de la aplicación. Una solución de gestión de bots puede detectar automáticamente actividades fraudulentas en función del tipo de tráfico —por ejemplo, humano o bot— que envía solicitudes a la aplicación. A continuación, la aplicación puede bloquear automáticamente el tráfico sospechoso de acuerdo con políticas de seguridad predefinidas.

El poder de las personas y las máquinas

El marco SOAR constituye un excelente modelo para crear un sistema automatizado, con capacidad de respuesta y ágil, que aprovecha múltiples tecnologías y la experiencia humana para aplicar y mejorar continuamente las políticas de seguridad. De este modo, se convierte en un elemento disuasorio muy eficaz frente a las amenazas actuales y futuras.
____

*Glosario de Gartner, SOAR, https://www.gartner.com/en/information-technology/glossary/security-orchestration-automation-response-soar

Sobre el autor

Lyle Marsh

Más artículos de Lyle Marsh