How do you choose the best automation and orchestration tools for your SOC?

Choosing a SecOps SOAR solution requires setting clear goals and a method to weigh requirements. Use a Decision Support Matrix (DSM) to assign weights as follows: 25% for automation and 20% for customization. Ease of learning, reporting, and support could each get 15%, with 10% for cost. Adjust as needed per team consensus. Finally, you need to define a scale so your teams can score each requirement and take the weightage into consideration for the final score. (Here’s a little pro tip: all the sophisticated tools in the world can't beat the simplicity and effectiveness of a well-organized table or a good old Excel spreadsheet so make sure you bring all this information together in a table.)

When selecting automation and orchestration tools, consider their integration capabilities with your existing security infrastructure and technologies.

- Consider the volume of alerts your SOC handles daily. - Look for tools that offer automation capabilities, including automated threat detection, response actions, and reporting. - Ensure the tool can orchestrate workflows across different security tools and systems, - Tool providing seamless integration with existing security tools (e.g. SIEM, EDR, firewalls) and IT infrastructure. - consider Total Cost of Ownership (licensing, costs of implementation, integration, ongoing operational costs, etc.)

O termo SOAR tem O de orquestração e A de automação. Por definição a orquestração é baseada em processos e a automação, em tarefas. A orquestração da segurança serve para conectar e integrar diferentes ferramentas e sistemas para otimizar os fluxos de trabalho de resposta. Ou seja, você usa todo o seu arsenal de ferramentas em conjunto para tirar o melhor proveito disso. Você desenha os passos necessários para responder a diferentes cenários, como phishing, malware, ddos, ransomware ou qualquer outra ameaça do ambiente. Esse plano de resposta é chamado de playbook, e a empresa vai ter um playbook para cada cenário. Dependendo de como essas respostas estão desenhadas isso pode ser automatizado.

Compatibility and Integration: Ensure seamless integration with existing security infrastructure, including SIEM systems and threat intelligence feeds. Automation Capabilities and Customization: Evaluate the automation features to streamline tasks such as alert triage, data enrichment, and response actions. Scalability and Analytics: Assess the scalability of the tools to meet the evolving demands of your SOC as the organization grows.

Focus on tasks and processes that are repetitive, time-consuming, and prone to human error, as these are ideal candidates for automation.

Para a ferramenta SOAR fazer sentido tem alguns passos anteriores que a empresa precisa se preocupar. Primeiro é necessário ter uma equipe dedicada de segurança da informação. Essa equipe qualificada precisa de ferramentas adequadas para trabalhar, incluindo Firewall, Anti-Malware, UTM, IDS, IPS, EDR, DLP, VPN, entre outras ferramentas de proteção. Uma empresa que chega nesse ponto pode pensar em ter um SOC, que é um centro de operações de segurança, trabalhando 24x7. A operação do SOC vai precisar de um SIEM, que correlaciona os logs das ferramentas de segurança e gera os alertas. Nesse ponto é possível pensar em uma ferramenta SOAR.

Before committing to a specific tool or vendor, conduct a proof of concept (POC) to validate its suitability for your needs. Implement the tool in a controlled environment and test its performance against real-world scenarios.

As ferramentas de SOAR costumam ter um custo proibitivo para empresas menores. Tem ferramentas que já fazem o papel de SIEM e SOAR, como o QRadar da IBM, o Splunk, o Fortnet, o Chronicle da Google, o Sentinel da Microsoft. Alguns vem com UEBA, User and entity behavior analytics - ela sabe que o usuário está fazendo alguma coisa errada em tempo real e antes do usuário terminar a ação maliciosa ele já detecta e já bloqueia. Usando nuvem e inteligência artificial essas ferramentas tem funcionalidades incríveis. Opções não faltam, depende do gosto e do bolso de cada empresa.

Requesting demos and trials lets you wield the software in your own environment, simulating real-world scenarios with existing tools and workflows. Don't be afraid to throw curveballs – test complex integrations, push performance limits, and see how the tool handles unexpected twists. Involve your team too, gather their feedback, and compare notes with other users through testimonials and reviews. Remember, the perfect fit isn't just about features, it's about seamless integration, intuitive operation, and reliable performance. So, test rigorously, validate relentlessly, and choose the tool that makes your SOC a fearless defender in the cybersecurity realm.

Quem quer ter contato com uma ferramenta SOAR sem ter que investir recursos financeiros, tem uma solução chamada TheHive, da empresa StrangeBee. É uma ferramenta que já vem integrada com o MISP, Malware Information Sharing Platform. Eles disponibilizam a versão community, que é free. Você pode entrar lá, baixar e criar o seu servidor.