SOAR uitgelegd: automatisering in het SOC

Wat is SOAR?

SOAR is de afkorting van security orchestration, automation, and response. Volgens NIST SP 800-215 is het afhandelen van meldingen en dreigingsinformatie onderdeel van de incidentafhandeling in een organisatie, en dat wordt uitgevoerd door leden van een security operations center (SOC). De strategie die de afgelopen jaren is ontstaan om dat proces te automatiseren, heet SOAR. NIST noemt als toepassingen onder meer het detecteren van en reageren op dreigingen, het prioriteren van kwetsbaarheden, nalevingscontroles en beveiligingsaudits.

SOAR is zowel een manier van werken als een categorie software. Als manier van werken: een melding komt binnen, een playbook voert de vaste stappen uit en een mens wordt erbij gehaald waar een beslissing nodig is. Als software: een product dat die manier van werken ondersteunt. Deze pagina legt de aanpak uit en beveelt geen product aan. NIST neemt de afkorting op in zijn woordenlijst, die verwijst naar bronpublicaties zoals NIST SP 800-215 en SP 800-61 revisie 3. Die laatste gaat over incidentresponse en is een community profile bij het NIST Cybersecurity Framework 2.0.

Wat betekenen orchestration, automation en response?

Orchestration is het laten samenwerken van verschillende tools. In een SOC staan meerdere systemen naast elkaar: een SIEM voor meldingen, een endpoint-tool, mailbeveiliging en een ticketsysteem. SOAR koppelt die systemen, zodat een analist niet door vijf schermen hoeft om één melding af te handelen.

Automation is het uitvoeren van een stap zonder handwerk: gegevens over een IP-adres ophalen, een bijlage laten analyseren of een ticket aanmaken. Response is de reactie zelf: insluiten, herstellen en melden. Orchestration en automation kunnen ervoor zorgen dat die reactie sneller en consistenter verloopt. Bij een ingrijpende actie blijft de beslissing meestal bij een mens.

NIST geeft ook concrete voorbeelden van automatisering. Volgens NIST SP 800-61 revisie 3 hoort detectietechnologie bevestigde incidenten automatisch te melden. Bij bepaalde soorten meldingen kan een organisatie overwegen om automatisch tickets aan te maken en toe te wijzen in het ticketsysteem.

Hoe past SOAR naast een SIEM?

NIST noemt SIEM en SOAR samen. Volgens NIST SP 800-61 revisie 3 gebruikt een organisatie technologie voor gebeurteniscorrelatie, zoals SIEM en SOAR, om samenhangende gegevens van meerdere bronnen te verzamelen. Dezelfde publicatie beveelt aan om die hulpmiddelen te gebruiken om logbestanden voortdurend te monitoren op bekende en verdachte activiteit en daarover te rapporteren. Zie ook de skillpagina over security monitoring.

Het verschil zit in de rol. Een SIEM verzamelt en correleert meldingen. SOAR neemt de opvolging over: de vaste stappen uitvoeren, gegevens ophalen en een ticket maken. Een SIEM zegt "hier gebeurt iets", SOAR zegt "dit zijn de stappen die bij deze melding altijd gelden". Het een vervangt het ander niet. Een SIEM kan zonder SOAR werken, maar een SOAR heeft meldingen nodig, meestal uit een SIEM, een EDR-tool of mailbeveiliging.

Wat is een playbook?

NIST SP 800-61 revisie 3 beschrijft playbooks als onderdeel van het vastleggen van procedures. Een playbook geeft uitvoerbare stappen of taken die mensen in verschillende scenario's kunnen uitvoeren, en de playbookvorm kan de bruikbaarheid van procedures verbeteren. NIST schrijft ook dat het onmogelijk is om voor elke situatie gedetailleerde procedures te hebben. Organisaties kunnen daarom procedures vastleggen voor de meest voorkomende typen incidenten en bedreigingen. Voor voorbeelden verwijst NIST naar de incident- en kwetsbaarheidsresponsplaybooks van CISA.

De standaardisatieorganisatie OASIS heeft de specificatie CACAO Security Playbooks versie 2.0 goedgekeurd als Committee Specification 01 op 27 november 2023. Die omschrijft een playbook als een workflow voor security orchestration met een reeks stappen, en als richtlijn voor hoe een beveiligingsgebeurtenis wordt aangepakt.

Een playbook bestaat uit een trigger, beslispunten en acties. De trigger is de melding die het playbook start, bijvoorbeeld een gemelde mail. Een beslispunt is de vraag waar het playbook op wacht, zoals of een link in dreigingsinformatie bekend is. Acties zijn de stappen die daarna volgen. Sommige stappen doet software, andere een mens.

Begin met een situatie die regelmatig voorkomt en waarvan de stappen duidelijk zijn, zoals een gemelde phishingmail. Een playbook voor iets dat zelden voorkomt, of waarbij elk geval anders is, levert weinig op en is lastig bij te houden.

Een voorbeeld: een gemelde phishingmail

Stel dat een medewerker een verdachte mail meldt. Het playbook voert dan de stappen in de tabel uit. Dit voorbeeld is verzonnen en beschrijft geen gebeurtenis bij een echte organisatie.

De software doet het werk dat vaststaat. De analist doet het werk dat een oordeel vraagt: is deze mail echt kwaadaardig, en wat haal je weg?

Wat laat je niet automatiseren?

NIST SP 800-61 revisie 3 noemt als overweging om beveiligingstechnologie automatisch sommige insluitingsacties te laten uitvoeren, zoals malware in quarantaine plaatsen of een geïnfecteerde container stoppen. Tegelijk schrijft NIST dat incident handlers handmatig insluitings- en uitroeiingsacties moeten kunnen kiezen, in plaats van of naast geautomatiseerde maatregelen. Handmatig kiezen kan makkelijker en sneller zijn als de organisatie criteria en procedures heeft, zoals het type incident en de duur van de maatregel. Voor technologie die niet voldoende met automatisering te monitoren is, adviseert NIST om logbestanden regelmatig handmatig te beoordelen.

Stappen met grote gevolgen laat je goedkeuren door een mens, bijvoorbeeld een server van het netwerk halen of een account blokkeren. Een playbook dat te ruim accounts blokkeert of mail verwijdert, raakt gewone gebruikers. Test playbooks voordat je ze inzet, en pas ze aan na een incident. Een playbook moet bijgehouden worden: systemen, detecties en procedures veranderen, en een verouderd playbook voert verkeerde stappen uit. Na een incident hoort het playbook bij de nabespreking, bij de lessen die je trekt. Dit is een werkwijze, geen wettelijke eis.

Welke functies werken met SOAR?

• SOC-engineer. Bouwt en onderhoudt de playbooks en koppelingen. Zie de vacatures voor SOC-engineers, de werkgevers die deze functie zoeken en de rolgids.
• SOC-analist. Werkt de meldingen af die door de automatisering komen en grijpt in waar het playbook om een beslissing vraagt. Zie de vacatures voor SOC-analisten en de rolgids.
• Incident responder. Gebruikt playbooks bij insluiten en herstellen. Zie de vacatures en de rolgids.
• Detection engineer en SIEM-engineer. Leveren de detecties waarop een playbook start. Zie de vacatures voor detection engineers en de vacatures voor SIEM-engineers.
• SOC-manager. Bewaakt wat geautomatiseerd wordt en met welke goedkeuring. Zie de vacatures.

Voor het bouwen van koppelingen helpt kennis van Python, en kennis van API's en van de bronsystemen. ServiceNow kan als ticketsysteem naast SOC-tools worden gebruikt. Het hele werkveld staat onder security operations.