O que é SOAR e como as agências podem aproveitá-lo em suas iniciativas de cibersegurança?

Lyle Marsh

De acordo com o Gartner, SOAR abrange “tecnologias que permitem às organizações coletar dados monitorados pela equipe de operações de segurança… As ferramentas de SOAR permitem que uma organização defina procedimentos de análise e resposta a incidentes em um formato de fluxo de trabalho digital.”*

Mas o que exatamente é SOAR? Trata-se de um conjunto de tecnologias oniscientes que trabalham juntas para mitigar ameaças e realizar análises — uma espécie de tecnologia Skynet da vida real, semelhante à de O Exterminador do Futuro, que impede ataques cibernéticos? Existe algum tipo específico de “software SOAR”? Ou seria uma estrutura que oferece uma abordagem recomendada para a segurança cibernética?

SOAR: uma estrutura para uma segurança sólida

É muito mais do que apenas uma ferramenta ou um conjunto de ferramentas. O SOAR é um modelo para a criação de um plano de segurança sólido. Sim, ele orienta os órgãos a automatizar o processamento de dados e análises de segurança provenientes de uma tecnologia (por exemplo, uma ferramenta de inteligência contra ameaças, como um gerenciador de eventos e informações de segurança ou um gerenciador de logs de segurança). Mas há outra parte do SOAR — a orquestração de segurança — que incentiva a intervenção humana.

Considere o que acontece quando uma solução de gerenciamento de eventos e informações de segurança ou uma ferramenta semelhante identifica um possível incidente. É criado um processo completo de fluxo de trabalho, que começa na ferramenta e termina em um administrador de segurança.

Nesse processo, o incidente é avaliado com base nas políticas de segurança que a organização (espera-se) já implementou. Entre os aspectos a serem considerados estão:

• Qual é o nível de ameaça atribuído ao aplicativo que foi comprometido?
• Com base nesse nível de ameaça, quais ações automatizadas devem ser executadas para mitigar possíveis danos?
• Quais outras ações precisam ser tomadas para corrigir o problema?

Os administradores de segurança podem então usar a inteligência sobre ameaças obtida a partir dos dados forenses para investigar e corrigir imediatamente o problema, além de ajustar as políticas de segurança de modo a reforçar as defesas da agência contra ataques futuros.

É aí que entra em cena o fator humano do SOAR. Apesar de toda a ênfase na automação, as pessoas são um elemento essencial da estrutura SOAR, pois constituem a última linha de defesa e são responsáveis por aprimorar a segurança. Aliar a experiência delas às soluções de segurança certas pode ajudar as organizações a se manterem um passo à frente de agentes mal-intencionados.

Aplicações adaptativas são essenciais para o modelo SOAR

O SOAR se concentra na criação de um programa de segurança altamente adaptável, que utiliza dados para aprimorar continuamente a forma como uma organização responde às ameaças. Ele incentiva o uso de inteligência para identificar as ameaças atuais, responder a esses incidentes, aprender com eles e se adaptar e melhorar ao longo do tempo.

Na F5, nosso foco é ajudar as organizações a criar aplicações adaptáveis capazes de ajustar automaticamente seus estados de segurança. Essas aplicações coletam e analisam informações provenientes de vários pontos de contato ao longo do caminho de dados da aplicação — o trajeto percorrido pelo tráfego da aplicação entre a aplicação e o usuário final —, como quando um usuário acessa a aplicação pela primeira vez (exigindo autenticação na aplicação), quando dados são enviados pela Internet (acionando o uso de um firewall de aplicações web) e muito mais.

Cada um desses pontos de contato gera seus próprios dados de telemetria e análise. Esses dados são usados para detectar se a aplicação está funcionando conforme o esperado ou se há algum tipo de anomalia que possa indicar uma violação.

Se for esse o caso, a aplicação poderá se adaptar automaticamente para mitigar a possível ameaça, atendendo assim à exigência do SOAR de uma resposta automatizada. Suponhamos que seja detectado um aumento repentino de tráfego suspeito em algum ponto do caminho de dados da aplicação. Uma solução de gerenciamento de bots pode detectar automaticamente atividades fraudulentas com base no tipo de tráfego — por exemplo, humano ou bot — que está acessando a aplicação. Em seguida, a aplicação pode bloquear automaticamente o tráfego suspeito com base em políticas de segurança predefinidas.

O poder dos seres humanos e das máquinas

A estrutura SOAR é um excelente modelo para a criação de um sistema automatizado, responsivo e ágil, que aproveita diversas tecnologias e a experiência humana para aplicar e aprimorar continuamente as políticas de segurança. Ela cria um mecanismo de dissuasão altamente eficaz contra ameaças atuais e futuras.
____

*Glossário da Gartner, SOAR, https://www.gartner.com/en/information-technology/glossary/security-orchestration-automation-response-soar

Sobre o autor

Lyle Marsh

Mais publicações de Lyle Marsh