Вы можете подумать, что в этой статье речь пойдет о том, что пользователи являются одной из самых больших проблем в области кибербезопасности. Ведь известно, что сотрудники переходят по непроверенным ссылкам, загружают вредоносные файлы и не меняют пароли. А есть и те, кто использует свои личные устройства в рабочих целях и подвергает сеть риску.

Да, все эти люди могут создавать проблемы для кибербезопасности. Но люди, на которых обычно возлагают вину за проблемы кибербезопасности, не имели бы такого влияния, если бы руководство организации, а не только CISO или ИТ-департамент, уделяло приоритетное внимание кибербезопасности.

Ваши сотрудники и другие руководители ценят ваше мнение и прислушиваются к нему. Если вы не уделяете приоритетного внимания безопасности своих данных, приложений и инфраструктуры, то и ваши сотрудники не будут этого делать. Даже ваши незначительные действия и решения влияют на риск атаки кибербезопасности для всей компании.

Это нелегко сделать, и трудно признать, что вы сами являетесь частью проблемы. Но вы не одиноки — практически каждый руководитель компании может в той или иной мере повысить уровень своей поддержки и приоритетности кибербезопасности.

Вот три ключевых момента для решения проблемы персонала в области кибербезопасности.

Понять ценность кибербезопасности для бизнеса

Создание культуры кибербезопасности

Следующим шагом является привитие сотрудникам менталитета кибербезопасности. Руководители создают культуру организации. Проактивное формирование культуры кибербезопасности наряду с основной культурой компании позволяет значительно снизить риск кибербезопасности.

Вместо того чтобы рассматривать кибербезопасность как работу ИТ-отдела, каждый сотрудник и команда должны чувствовать личную ответственность за кибербезопасность. Сотрудники должны понимать, что их действия — даже такие простые, как отказ от обновления программных патчей на своих телефонах, — могут стать причиной крупной атаки на кибербезопасность, которая обойдется компании в миллионы долларов.

При разработке новых процессов, продуктов и услуг команды должны уделять кибербезопасности первостепенное внимание. Специалисты по кибербезопасности и ИТ-отдел могут предоставить свои знания и опыт, но именно сотрудники, работающие на передовой, способны изменить ситуацию к лучшему.

Создание и поддержание культуры кибербезопасности не означает, что о ней нужно говорить раз в год на обязательных тренингах по кибербезопасности. Да, сотрудники нуждаются в обучении, но оно должно быть более частым и проводиться в течение года. Постоянно рассказывая о кибербезопасности, например, напоминая о необходимости соблюдения правил кибербезопасности и информируя о текущих угрозах, руководители могут помочь сотрудникам не упускать вопросы безопасности из виду.

Выделять ресурсы

Менталитет и культура создают основу для успешной программы кибербезопасности. Без наличия и того, и другого вы не сможете принять бизнес-решения, необходимые для создания эффективной системы кибербезопасности. Однако организация может защитить свои приложения, данные и инфраструктуру только при наличии необходимых ресурсов — как человеческих, так и технологических. Руководители должны полностью осознать важность кибербезопасности; только в этом случае они будут принимать бизнес-решения, необходимые для защиты организации.

Наличие необходимых технологий существенно снижает последствия любого нарушения. При использовании подхода «нулевого доверия» организации снижают как риск нарушения, так и его последствия. Организации, внедрившие систему «нулевого доверия» на ранних этапах, по сравнению с теми, кто только начал ее внедрять, сэкономили в среднем 1,51 млн. долл. Кроме того, организации, использующие технологию расширенного обнаружения и реагирования (XDR), выявляли и локализовывали нарушения в среднем на 29 дней раньше, чем те, кто не применял эту технологию.

Когда речь идет о кибербезопасности, легко сосредоточиться на технологиях и стратегиях. Но на самом деле главная проблема кибербезопасности заключается в людях. И единственный способ изменить действия и отношение тех, кто находится на передовой, — это сделать так, чтобы руководители, подобные вам, каждый день уделяли кибербезопасности первостепенное внимание.

Будущее вашего бизнеса зависит от того, насколько вы, как руководитель компании, принимаете близко к сердцу идеи кибербезопасности. Ваш образ мышления и отношение к кибербезопасности находятся на сцене и видны всем сотрудникам вашей компании. Отдавая приоритет кибербезопасности, вы можете оказать положительное влияние на всю компанию.

Источник:
https://securityintelligence.com/articles/solve-the-people-problem-cybersecurity/

Автор:
Jennifer Gregory

Перевод и дополнения:
Лебедев А.В.

Как и везде в кибербезопасности, проактивность побеждает

Прежде всего, роль IR почти всегда будет зависеть от общего состояния безопасности организации, инструментов и приоритетов кибербезопасности. Говоря в общем, если компания не уделяет должного внимания кибербезопасности, любой член IR-команды рискует выгореть.

Кто-то может сказать, что реагирование на инциденты может быть утомительным, но это зависит от многих факторов. В некоторых (к сожалению) случаях IR может напоминать бесконечную игру «Ударь крота». Но если организация занимает активную позицию, чтобы понять, как происходят инциденты, и постоянно стремится улучшать меры безопасности, новые инциденты можно предотвратить, а количество ложных срабатываний свести к минимуму.

Независимый исследователь безопасности Род Сото работал в нескольких группах реагирования на инциденты и считает, что наиболее распространенным случаем «ожидания против реальности» является мнение, что большинство планов IR применимы к большинству организаций.

«Очень сложно иметь универсальный план IR, — сказал Сото. «Необходимо иметь план и команду, но помнить о неожиданных событиях и недостатках, которые могут возникнуть во время инцидентов. Планы и процедуры могут обеспечить объем действий, но они должны быть гибкими и способными распространяться на масштаб инцидента».

Еще одно распространенное убеждение IR, которое Сото часто развеивает, — это ложное чувство безопасности, что команда может охватить все.

«На большинстве предприятий просто невозможно предусмотреть каждый сценарий, — сказал он. «Вы можете подготовиться к тем, которые вы считаете крайне важными и затратным, но помимо этого будут неожиданные сценарии и угрозы, которые просто нельзя предвидеть».

Хорошо, но каково это на самом деле — работать специалистом по реагированию на инциденты?

В зависимости от организации ваш опыт работы в качестве специалиста по реагированию на инциденты может варьироваться. Некоторые специалисты по реагированию на инциденты воспринимают свою работу как своего рода службу поддержки по кибербезопасности — скорее роль начального уровня, которая предоставит большой доступ к инструментам и опыту для подготовки к другим ролям. Даже те, кто разделяет это мышление, воспринимают эту роль как ступеньку к прибыльной карьере в области кибербезопасности.

С другой стороны, некоторым специалистам по реагированию на инциденты нравится обнаруживать угрозы, управлять ими и устранять их, особенно если они не сталкиваются с угрозами одного и того же типа каждый день. Это возвращает нас к важности проактивной организации: если команда IR изо дня в день имеет дело с одними и теми же угрозами и должна научиться отключаться от ложных срабатываний, работа будет утомительной.

Группы IR, которые сталкиваются с новыми и интересными угрозами, обычно более вовлечены и, в свою очередь, играют решающую роль в замыкании цикла обратной связи, чтобы убедиться, что они не видят постоянно одни и те же угрозы и инциденты.

Каковы пределы того, что могут сделать специалисты по реагированию на инциденты, по сравнению с тем, что они должны делать? Как это влияет на их повседневную жизнь?

По словам Сото, ожидания, возлагаемые на специалистов по реагированию на инциденты, значительны: они должны выполнять множество обязанностей, обладать разнообразными навыками, соблюдать нереалистичные сроки и иметь дело с несколькими отделами и третьими сторонами. «Часто командам IR приходится идти по тонкой грани из-за корпоративных и юридических последствий, которые могут повлиять на их карьеру», — сказал он.

Вопрос о том, как организация должна планировать реагирование на инциденты, выходит за рамки этой статьи. Но для специалистов по реагированию на инциденты есть несколько способов облегчить работу.

Во-первых, важно, чтобы IR-команды получали поддержку от высшего руководства и других отделов. В то время как специалисты по реагированию на инциденты и ИТ-отдел возглавляют усилия по реагированию на инциденты, участие как можно большего числа бизнес-подразделений может иметь большое значение для улучшения рабочего дня специалиста по реагированию на инциденты.

Далее, роли и обязанности для всех членов команды должны быть определены как можно более четко и конкретно. Роли также должны быть задокументированы и сообщены, чтобы команда могла более эффективно координировать свои действия в случае возникновения инцидента.

И, конечно же, эффективное общение является ключевым. Хотя общение имеет решающее значение для любого проекта, оно особенно актуально для IR. Общение и документирование того, кто, как и когда связывается со всеми соответствующими сторонами (как внутренними, так и внешними), упрощает процесс и только упрощает его.

Но в конечном счете, как и в других профессиях в области кибербезопасности, все сводится к следующему: вам нужно найти правильный баланс между работой и личной жизнью, который подходит именно вам.

Если вы талантливы и имеете солидную репутацию, у вас всегда будет работа. Если вы недовольны, вероятно, будет много других возможностей. Задайте как можно больше вопросов, прежде чем соглашаться на роль, и убедитесь, что ваши ожидания ясны. Предпримите столько шагов, сколько необходимо, чтобы избежать выгорания, которое так часто встречается в индустрии кибербезопасности.

IR может быть прекрасным опытом или монотонным. Но когда организации проявляют инициативу в отношении кибербезопасности, жизнь сегодняшних специалистов по реагированию на инциденты чаще бывает прежней.

Источник:
https://securityintelligence.com/articles/what-people-get-wrong-incident-responders/

Автор:
Mark Stone

Перевод:
Галимова Э.И.

Введение
Цифровая трансформация экономики и переход в онлайн бизнес-процессов многих Организаций, повлекли за собой эволюцию не только информационных систем и инфраструктур, но и непрерывно усложняющихся и видоизменяющихся киберугроз, и, как следствие, бросили новые вызовы индустрии кибербезопасности.

Ответственные за информационную безопасность перестали выступать «на вторых ролях», ведь от киберустойчивости систем и сервисов напрямую стали зависеть выручка компании, её репутация и положение на рынке.

Подчас даже само существование бизнеса может быть поставлено под угрозу успешно реализованной кибератакой — будь то утечка клиентских данных, компрометация программного продукта или заражение вирусом-шифровальщиком.

Современные киберугрозы оставляют все меньше времени для реагирования на инциденты: серьезные атаки со значительным ущербом могут быть совершены в течение буквально считанных минут с момента первичного проникновения в компьютерную сеть организации.

При этом сотрудники подразделений информационной безопасности перегружены и находятся в состоянии практически непрекращающегося цейтнота: количество, опасность и изощренность кибератак усугубляются хроническим кадровым дефицитом и спецификой деятельности, требующей постоянной сосредоточенности, а также непрерывно увеличивающимся объемом информации, которую необходимо получать и обрабатывать для актуализации собственных знаний о современных способах и методах нападения.

События 2022 года только ускорили данный тренд: стресс-факторов и кибератак стало еще больше, ответственность — выше, а особенности удаленной работы внесли свои коррективы в эффективность коммуникации.

В ОЦИБ стабильно наблюдается существенная текучка, особенно на должности аналитика первого уровня — устав от выполнения рутинных операций и получив необходимые навыки, аналитики стремятся перейти на более высокие уровни с более разнообразными задачами и повышенной материальной компенсацией, таким образом создавая вполне объяснимую ротацию кадров.

Разнообразие средств защиты лишь усугубляет проблему: регулярно выпускаются всё новые, функционально насыщенные и сложные для восприятия продукты, в каждом из которых свой интерфейс, свой функционал и свои особенности. Которые, чаще всего, необходимо освоить и в кратчайшие сроки.

История
Одна из ведущих платформ IBM Security QRadar SOAR (ex.Resilient), начала разрабатываться в начале 2010-х годов, когда организации начали осознавать необходимость в более эффективных операциях безопасности и возможностях реагирования. Это было обусловлено рядом факторов, включая растущую изощренность и частоту кибер-атак, а также растущую сложность сред безопасности. В ответ на эту потребность IBM начала разработку платформы, объединяющей возможности автоматизации, оркестровки и реагирования, чтобы помочь организациям более эффективно управлять инцидентами безопасности и реагировать на них. Первоначально эта платформа была известна как IBM Resilient и была разработана как комплексное решение для автоматизации и оркестровки операций безопасности.

Со временем IBM продолжала развивать и совершенствовать IBM Resilient, добавляя новые функции и возможности для повышения ее производительности и эффективности. В 2018 году IBM переименовала платформу в IBM Security SOAR, чтобы лучше отразить ее направленность на оркестровку, автоматизацию и реагирование в сфере безопасности. А затем, в 2022 году в IBM Security QRadar SOAR, чтобы продолжать эволюционировать в сторону XDR (Xtended detection and response) и указать на максимальную интеграцию с IBM Security QRadar SIEM.

Сегодня IBM Security QRadar SOAR — это зрелая и широко используемая платформа, которой доверяют организации по всему миру, чтобы улучшить свои операции по обеспечению безопасности и реагированию на киберугрозы. Она продолжает развиваться и совершенствоваться, регулярно добавляя новые функции и возможности.

История IBM Security QRadar SOAR — это история эволюции и инноваций, поскольку IBM реагировала на меняющиеся потребности организаций и меняющийся ландшафт угроз, чтобы разработать мощную и эффективную платформу для улучшения операций безопасности и реагирования.

IBM Security QRadar SOAR построена в полном соответствии со стандартами (специальной публикацией) NIST Special Publication 800-61 rev.2 «Computer Security Incident Handling» («Руководство по обработке инцидентов компьютерной безопасности») и SANS Incident Handler’s Handbook и все динамические сценарии реагирование на киберинциденты заключаются в поэтапном выполнении связанных процессов: подготовка к отражению инцидента, обнаружение и анализ инцидента, затем сдерживание, устранение и восстановление после инцидента, а также выполнение действий после реагирования (post-incident activity) с анализом «выученного урока», корректировкой планов реагирования, перенастройкой Систем защиты информации.

Эволюция от IRP к SOAR
Для снижения нагрузки на аналитиков ИБ было решено роботизировать часть действий по обработке киберинцидентов — например, поиск и сбор дополнительной информации о затронутом инцидентом активе, поиск индикаторов компрометации (IoC — Indicator of Compromise) и данных о тактиках, техниках, процедурах (TTPs – Tactics, Techniques, Procedures) атакующих в платформах киберразведки (TIP — threat intelligence platform), первичный триаж (классификацию) и анализ инцидентов, а также отсеивание явных ложноположительных срабатываний. Автоматизация данных действий позволила бы существенно сократить такой KPI реагирования на киберинциденты, как MTTD — mean time to detect, среднее время детектирования (обнаружения) инцидента. Далее встал вопрос о том, каким образом можно уменьшить показатели еще одной метрики, MTTR — mean time to respond, среднее время реагирования на инцидент. Реагирование подразумевает некое активное действие, направленное на локализацию, сдерживание, устранение угрозы и на возврат информационной системы в состояние «до начала атаки».

Что привело к созданию такого класса продуктов, как IRP — Incident Response Platform, платформа реагирования на киберинциденты. Данный класс решений предполагал как автоматизацию действий по анализу инцидентов ИБ и сбору дополнительной информации (для снижения MTTD), так и интеграцию с разнообразными ИТ/ИБ-продуктами для выполнения автоматических или автоматизированных действий по реагированию (для снижения MTTR), например, путем блокировки IP-адреса атакующего на сетевом оборудовании, изоляции атакованного хоста от сети, завершения подозрительных процессов и остановки служб, удаления непрочитанных фишинговых сообщений с почтового сервера, восстановления работоспособности СЗИ на атакованных конечных точках и т.д. Основными задачами решений класса IRP являются, во-первых, автоматизация обработки киберинцидентов с помощью программируемых рабочих процессов (workflow) или сценариев реагирования (playbook-скриптов), которые описывают порядок действий по реагированию, в том числе путем отправки управляющих команд на СЗИ для активного противодействия угрозе (этапы сдерживания и устранения инцидента), и, во-вторых, предоставление средств совместной работы над инцидентом аналитикам ИБ.

Соответственно, IRP или «Incident Response Platforms» – платформа, предназначенная для автоматизации процессов мониторинга, учета и реагирования на инциденты информационной безопасности (ИБ).

Предпосылками внедрения IRP являются определенные проблемы в ходе управления ИБ: отсутствие централизованной системы сбора данных об инцидентах; недостаточная скорость реакции – потеря времени при расследовании инцидентов, вплоть до пропуска; отсутствие средств представления статистики и аналитики.

Поэтому применение IRP позволяет обеспечить своевременные ответные действия группы реагирования на инциденты информационной безопасности, предоставляя при этом аналитическую информацию и контекст инцидента.

Для эффективной работы IRP должна выполнять следующие функции:

— Автоматизация процесса управления инцидентами ИБ. Является основной задачей IRP и предназначена для снижения нагрузки на персонал компании, связанный с обеспечением ИБ.

— Ведение единой базы знаний инцидентов. Содержание в базе информации о зафиксированных инцидентах ИБ позволяет обеспечить регистрацию фактов выявления инцидентов в едином месте и повысить эффективность деятельности группы реагирования на инциденты.

— Интеграция с существующими в компании средствами защиты посредством механизмов взаимодействия, с целью объединения информации об инцидентах ИБ.

— Совместная работа между группами реагирования на инциденты, а именно, обеспечение механизмов коммуникации, оповещения о вновь появившихся инцидентах, хранения полученных материалов и его совместного анализа.

— Автоматизация реагирования на инциденты. Вследствие того, что в некоторых случаях промежуток времени между обнаружением и реакцией на инцидент ИБ должен быть как можно меньше, необходимо как можно больше автоматизировать процесс реагирования на инциденты. Данные процедуры, как правило, включают готовые сценарии реагирования, совокупность технических мероприятий по обработке инцидента.

— Адаптивность работы. Различие используемой инфраструктуры, средств защиты, процессов управления ИБ в различных компаниях порождает обеспечение адаптивности под группы реагирования на инциденты без участия поставщиков платформы.

— Отчетность о проделанной работе. В связи с тем, что вопросы инцидентов ИБ рассматриваются руководством компании, регуляторами и контрагентами, существует необходимость визуализации полученной информации в виде диаграмм, наглядных графиков и карт, а также реализации отчета, включающего всю информацию, затрагивающую инциденты ИБ.

— Интеграция с внешними источниками. Основной задачей является взаимодействие с другими участниками отрасли, экспертами и внешними организациями, а также центром реагирования на компьютерные инциденты (CERT или НКЦИБ) с целью получения оперативной и актуальной информации для своевременного принятия защитных мер.

Как видим, часть задач по автоматизации и ускорению реагированию на инциденты IRP-платформы действительно решают. Но производители средств защиты решили пойти дальше и объединить решения по автоматизации ответных действий на инциденты в системах класса SOAR — Security Orchestration, Automation and Response платформах оркестрации, автоматизации и реагирования на киберинциденты. В SOAR-платформах интегрированы механизмы по обработке событий ИБ (получаемых, как правило, из систем SIEM или Log Management), автоматизации действий по обработке данных событий в соответствии с рабочими процессами и плейбуками, а также механизмы осуществления действий по реагированию благодаря централизованному управлению (оркестрации) ИТ/ИБ-системами (ОС, ПО, СЗИ).
Дополнительно в SOAR-решениях присутствуют опции кейс-менеджмента для совместной работы группы аналитиков над инцидентами, возможности обработки данных киберразведки (благодаря интеграции с поставщиками данных киберразведки, или Threat Intelligence feeds, TI-фидами), а также механизмы визуализации, отчетности, аналитики, логирования выполненных действий по реагированию, ведения базы знаний.
Опционально могут присутствовать возможности обработки Big Data, механизмы машинного обучения и искусственного интеллекта для автоматизации действий и помощи в принятии решений при реагировании.
Грубо говоря, мы можем вывести логическую формулу: SOAR = IRP + TIP + XDR, где TIP — threat intelligence platform, платформа управления данными киберразведки, XDR — extended detection and response, платформа расширенного обнаружения и реагирования на киберинциденты.

Пример сценария использования (Use case) SOAR-платформы: просканировать входящее сообщение электронной почты (интеграция с почтовым сервером, например, Microsoft Exchange) на наличие вредоносных URL-ссылок или хэшей вложений (интеграция с системами киберразведки, например, VirusTotal или URLScan), проанализировать данные событий ИБ с межсетевого экрана (интеграция с сетевым оборудованием, например, Cisco или FortiGate) для поиска трафика с/на подозрительные IP-адреса, далее отправить уведомления аналитикам ИБ (интеграция с мессенджерами, например, Telegram) и заблокировать вредоносные IP-адреса и URL-ссылки на межсетевом экране. Можно также предположить сценарий, в котором SOAR-система осуществляет взаимодействие с конечным устройством через интеграцию с EDR-решением (например, ReaQta EDR) для активного сдерживания угрозы (например, сетевая изоляция хоста, остановка подозрительных процессов/сервисов) или для сбора сведений для форензик-исследования (timeline — временная шкала работы устройства, дампы памяти, список запущенных процессов, сетевых подключений).
Еще один сценарий использования SOAR-решения: анализ данных системы сканирования на наличие уязвимостей (например, Nessus), оценка сетевой доступности и эксплуатируемости уязвимости на определенном устройстве (например, через Infoblox) и создание задачи на установку обновлений для ИТ-подразделения (например, через Atlassian JIRA).

Независимо от прогресса на рынке SOAR-систем, в последнее время наметился новый тренд: решения класса NG-SIEM (Next Generation SIEM) объединяют в себе функционал SIEM-систем, UEBA-модулей (user and entity behavior analytics, поведенческий анализ пользователей и сущностей), а также SOAR-платформ. При этом многие вендоры позиционируют свой NG-SIEM как легко масштабируемое облачное решение, с коннекторами к облачной и локальной (on-prem) инфраструктурам заказчиков для получения событий ИБ и реагирования на инциденты.
Стремление вендоров объединить решения, выполняющие сходные функции, вполне объяснимо, однако при таком подходе СУИБ (система управления информационной безопасностью) заказчика оказывается практически в полной зависимости от одного продукта одного вендора.
Выход данной системы из строя грозит обернуться крупными проблемами: несоответствием законодательству в части сбора логов, невозможностью оперативного реагирования на инциденты, неконтролируемостью инфраструктуры.

Платформа SOAR, как и платформа IRP, является гибко настраиваемой в зависимости от задач, поэтому ее можно адаптировать к следующим основным вариантам использования:

— Мониторинг и эскалация. Платформа SOAR позволяет вводить инциденты, включая соответствующие данные, пользователями или системами, интегрированными с платформой SOAR. Затем вы можете отслеживать состояние от начала до разрешения инцидента. Данные могут включать такие артефакты, как IP-адреса, хэши файлов, URL-адреса, имена пользователей и имена систем. Все данные ассоциируются с инцидентом.

— Идентификация и обогащение. Автоматический поиск информации об угрозах, рабочие процессы и действия на основе меню позволяют получить ценный контекст и сократить время на определение масштаба и последствий, что обеспечивает быстрое и решительное реагирование. Запускайте оценку в «песочнице» и создавайте правила, чтобы действовать в соответствии с результатами. Поиск журналов и конечных точек и принятие решений на основе полученных данных. Включите информацию CMDB и каталога, чтобы помочь аналитикам точно оценить серьезность и воздействие. Переключайтесь на эти критические элементы данных, чтобы динамически корректировать способы реагирования вашей команды. В продукт интегрировано несколько источников киберугроз, и вы можете интегрировать собственные службы угроз.

— Сдерживание, реагирование и восстановление. На основе условий срабатывания или на основе ручных действий система может отправлять уведомления или инициировать внешние действия для сдерживания и корректировки уровня безопасности в рамках программы реагирования.

— Связь и координация. Включает использование пользовательских действий, функций и REST API для двунаправленной интеграции с вашей средой, в том числе с системой управления билетами и услугами, интеллектуальными уведомлениями, коммуникационными платформами и другими бизнес-приложениями. Благодаря интеграции за пределами SOC пользователи могут координировать быстрое и эффективное разрешение инцидента с помощью платформы.

Будущее SOAR-Систем
Вполне вероятно, что разработка систем SOAR будет продолжать развиваться и совершенствоваться в будущем. Одной из областей, где, вероятно, будет достигнут значительный прогресс, является использование машинного обучения и искусственного интеллекта (ИИ) для расширения возможностей систем SOAR.

По мере дальнейшего развития технологий машинного обучения и ИИ, вероятно, системы SOAR будут включать более продвинутые алгоритмы и возможности, позволяющие им лучше справляться со сложными, динамичными средами. Это может включать такие вещи, как улучшенная обработка естественного языка, позволяющая системам SOAR лучше понимать и интерпретировать неструктурированные данные, а также способность учиться на прошлом опыте и адаптироваться к новым ситуациям.

Еще одна область, в которой в будущем, вероятно, произойдет значительное развитие — это интеграция систем SOAR с другими технологиями, такими как Интернет вещей (IoT) и периферийные вычисления. По мере подключения все большего количества устройств и систем будет расти потребность в системах SOAR, способных обрабатывать большие объемы данных из различных источников и работать в распределенных средах.

Кроме того, вероятно, будет продолжаться развитие использования систем SOAR для более широкого спектра приложений и отраслей. По мере того, как преимущества систем SOAR становятся все более широко признанными, вероятно, что они будут использоваться более широким кругом организаций и отраслей, включая здравоохранение, финансы и розничную торговлю.

В целом, будущее систем SOAR выглядит радужным, поскольку они будут продолжать эволюционировать и развиваться в таких ключевых областях, как машинное обучение и искусственный интеллект, интеграция с другими технологиями и более широкое внедрение в различных отраслях.

Заключение
Возможности автоматизации IBM Security SOAR призваны помочь организациям сэкономить время и снизить нагрузку на команды безопасности за счет автоматизации многих ручных и трудоемких задач, которые обычно выполняются в ходе операций безопасности. Сюда входят такие задачи, как сбор и анализ данных, обогащение информации об угрозах и устранение последствий инцидентов. Автоматизируя эти задачи, IBM Security SOAR освобождает команды безопасности, чтобы сосредоточиться на более сложных и важных задачах, таких как расследование и реагирование на инциденты безопасности. Позволяет командам безопасности координировать действия различных инструментов и систем для реагирования на инциденты безопасности и автоматизировать сложные, многоэтапные процессы и гарантирует, что нужные действия будут предприняты в правильном порядке для эффективного устранения инцидента.

Наконец, IBM Security SOAR включает ряд возможностей реагирования, таких как возможность эскалации инцидентов на соответствующую команду или отдельное лицо, а также возможность общения с пострадавшими сторонами. Это помогает командам безопасности обеспечить быстрое и эффективное устранение инцидентов и принятие необходимых мер для предотвращения дальнейшего ущерба или сбоев.

Одной из ключевых особенностей IBM Security SOAR является возможность использования заранее определенных «динамических сценариев» или «playbooks» для автоматизации реагирования на распространенные инциденты безопасности. Эти «учебники», по сути, представляют собой наборы инструкций, в которых подробно описаны шаги, которые необходимо предпринять для реагирования на определенный тип инцидента. Например, руководство по реагированию на атаку ransomware может включать шаги по изоляции пострадавших систем, восстановлению из резервных копий и внедрению дополнительных мер безопасности для предотвращения будущих атак.

В целом, IBM Security SOAR — это мощная платформа, которая позволяет организациям улучшить свои операции по обеспечению безопасности и реагированию на киберугрозы. Сочетание возможностей автоматизации, оркестровки и реагирования позволяет командам безопасности более эффективно управлять инцидентами безопасности и устранять их последствия, а также помогает организациям снизить воздействие киберугроз. А использование заранее определенных сценариев действий при инцидентах еще больше расширяет возможности решения, позволяя организациям быстро и эффективно реагировать на распространенные инциденты безопасности.

Источники:
https://runsec.ru/art119/ «ОБЗОР МИРОВОГО РЫНКА SOAR СИСТЕМ» Грачева Ю.В., Вайц В.Л., Рудик К.П.
https://www.anti-malware.ru/analytics/Market_Analysis/Security-Orchestration-Automation-and-Response-SOAR-Solution-Overview
https://itsec.ru/articles2/Oborandteh/soar-avtomatizatsiya-reagirovaniya
https://www.fortinet.com/ru/products/fortisoar
https://www.ibm.com/products/qradar-soar

Автор:
Лебедев А.В.