11 preguntas que debe hacerse al evaluar una plataforma SOAR

Una de las soluciones más valiosas en un entorno SOC es una plataforma de Orquestación, Automatización y Respuesta de Seguridad (SOAR). Se diseñó para añadir la capa de acción necesaria para clasificar alertas de forma rápida y eficiente, reducir los falsos positivos y proporcionar a los analistas la inteligencia de seguridad que necesitan.

Plataformas SOAR ayudar a los equipos de operaciones de seguridad (SecOps) a aumentar su eficiencia agregando la creciente cantidad de datos, convirtiendo esos datos en información procesable y luego automatizando un porcentaje significativo del proceso de respuesta a incidentes.

Con SOAR, los analistas pueden responder a cada alerta y al mismo tiempo reducir el tiempo medio de resolución (MTTR) con un panel integral que presenta una vista completa de alertas y herramientas junto con información y métricas para ayudar a monitorear el rendimiento, simplificando, automatizando y documentando todo el proceso de respuesta a incidentes.

Pero no todas las plataformas SOAR son iguales. A la hora de evaluar una plataforma SOAR, aquí tienes las 11 preguntas que debes plantearte.

1. ¿Qué casos de uso puede automatizar esta solución?

Uno de los aspectos más importantes a considerar al evaluar una plataforma SOAR es en qué casos de uso puede ayudar a su equipo de SecOps. Una buena plataforma SOAR podrá automatizar diversos casos de uso. Casos de uso comunes de SOAR incluir:

• Automatizado investigación de phishing y respuesta

• Triaje de alertas SIEM y EDR

• Gestión automatizada de inteligencia sobre amenazas

• Contención de malware

Estos casos de uso son un buen punto de partida, pero puede haber casos específicos de la industria que su organización necesite automatizar. Busque casos de uso menos comunes (pero igualmente importantes), como la investigación y respuesta ante fraudes., amenazas internas, incorporación y salida de empleados y mucho más.

2. ¿Puede integrarse con cualquier API?

Asegúrese de que la plataforma SOAR se integre con diversos formatos y fuentes, especialmente con su infraestructura tecnológica actual. Una solución SOAR independiente del ecosistema también debería ser capaz de integrarse con elementos que no se encuentran en un entorno SecOps típico.

Debería ir más allá SIEM, Herramientas de inteligencia de amenazas y EDR que incluyen telemetría desde dispositivos en la nube e IoT, centros de datos y recursos de edge computing. Tenga en cuenta las limitaciones de integración y las dependencias de los proveedores.

3. ¿Existe una dependencia de los desarrolladores para la integración con las API?

De igual manera, considere la dependencia de las integraciones del soporte para desarrolladores. ¿Necesitará presupuestar desarrolladores internos o externos dedicados para la integración con API específicas? Esto reduce el costo total. retorno de la inversión (ROI) que podrías esperar de la plataforma SOAR.

Las plataformas SOAR modernas utilizan conexiones estables, portátiles y confiables a cualquier API para simplificar las integraciones.

4. ¿Cuánta codificación requieren los analistas?

Históricamente, las soluciones SOAR han sido complejas, rígidas y difíciles de manejar. El éxito de las plataformas SOAR tradicionales dependía de la participación de los desarrolladores. En el contexto de seguridad actual, la escasez de personal y la brecha global de habilidades dificultan la búsqueda de analistas con capacidades avanzadas de programación.

Los líderes de seguridad deberían buscar una plataforma SOAR que elimine las exigencias de codificación de las cargas de trabajo de los analistas. Esto no solo les ahorrará tiempo, sino que también mejorará su satisfacción laboral al permitirles investigar amenazas críticas para el negocio.

5. ¿Cuál es el proceso para elaborar playbooks?

Los playbooks de una plataforma SOAR valiosa serán lo suficientemente sencillos técnicamente como para que los analistas de primer nivel y los expertos en el sector los desarrollen. Al mismo tiempo, no comprometerán la sofisticación de la automatización. Busque una solución que utilice un generador de playbooks legible para que los equipos de seguridad puedan practicar sus habilidades en un entorno eficiente y personalizable.

Su solución SOAR debe tener una interfaz de usuario de arrastrar y soltar para crear y modificar manuales de estrategias, sin atascarse con scripts.

6. ¿Es posible personalizar los playbooks según los procesos de su negocio?

Un generador de flujos de trabajo robusto debe funcionar con código personalizado y contenido predefinido para permitir su adaptación a cualquier entorno organizacional. Busque proveedores de SOAR que tengan otros clientes en su sector, como Infraestructuras Críticas, Servicios Financieros y Proveedores de Servicios de Gestión de Sistemas (MSSP). Las demandas de estas organizaciones requieren soluciones personalizadas para una visibilidad eficaz en sistemas únicos.

7. ¿La plataforma tiene gestión de casos incorporada?

La gestión de casos debe ser más que un simple repositorio. Los registros de casos individuales deben ser totalmente interactivos y adaptarse automáticamente para mostrar los datos que necesita. Al igual que Salesforce para ventas, Workday para profesionales de RR. HH. o ServiceNow para TI, su plataforma SOAR debe actuar como un centro de gestión centralizado para toda la seguridad. Debe ser capaz de capturar datos de máquinas y funciones automatizadas, así como decisiones humanas durante los procesos de respuesta.

Una plataforma SOAR debería ser realmente una “sistema de registro”en toda la pila tecnológica. Asegúrese de que pueda proporcionar visibilidad y generación de informes en todos los ecosistemas para proporcionar información práctica a las partes interesadas de toda la organización.

8. ¿Se pueden crear paneles de control para presentar indicadores clave de rendimiento (KPI)?

Debe tener capacidad ilimitada para crear y modificar paneles de control para que muestren los datos según sus necesidades. Los paneles deben ser intuitivos y fáciles de personalizar para diversos usuarios, como gerentes de SOC, CISO e incluso la junta directiva.

Las plataformas SOAR eficaces combinan inteligencia humana y artificial mediante la gestión de casos, paneles de control y funciones de generación de informes. Esto facilita que el equipo de operaciones de seguridad obtenga información útil. Métricas de KPI como los puntos de referencia del marco MTTD, MTTR y MITRE ATTACK.

9. ¿Será posible seguir cumpliendo los KPI si crecemos o escalamos?

Asegúrese de que la plataforma SOAR pueda procesar conjuntos de datos más grandes y diversos desde lugares de difícil acceso. Asegúrese de que su solución pueda optimizar el rendimiento de seguridad, como el Tiempo Medio de Resolución (MTTR), y reducir el tiempo de permanencia; esto requerirá un rendimiento y una potencia de procesamiento superiores a los que ofrecen la mayoría de las soluciones SOAR.

Una plataforma SOAR debe tener una larga vida útil que crezca y escale con su SOC. Las soluciones SOAR más potentes podrán ingerir grandes volúmenes y diversos tipos de conjuntos de datos. Busque características que faciliten esto, como la ingesta distribuida de big data, el enriquecimiento en línea, el preprocesamiento y otras funciones relacionadas.

10. ¿Cómo se alinea con las leyes regulatorias específicas del sector y los estándares de la industria?

Las organizaciones de todos los sectores se enfrentan a una lista cada vez mayor de normas y requisitos de cumplimiento. Para abordar este desafío, la plataforma SOAR debe automatizar más allá de los controles y procedimientos de seguridad. Debe capturar y automatizar la documentación y los informes de todas las actividades de seguridad para... garantizar el cumplimiento y evitar violaciones regulatorias.

Busque una plataforma SOAR que ofrezca simplicidad en la documentación y los informes de cumplimiento. Esta es la clave para reducir los problemas a largo plazo.

11. ¿Cuál es el ROI esperado?

Los presupuestos de seguridad siguen siendo limitados, por lo que cada nueva inversión debe ser rentable. El valor de una plataforma SOAR debería ser evidente, si es valiosa. Los ahorros estimados en salarios del personal, apoyo al personal (incluyendo capacitación, herramientas, etc.), herramientas de seguridad adicionales y costos de respuesta deberían ser rentables. Un proveedor de SOAR confiable brindará transparencia sobre los costos iniciales y recurrentes para ayudar. Calcular el ROI de la solución.

SOAR es un producto de seguridad integral en la mayoría de las organizaciones, que permite automatizar procesos clave de seguridad y responder a incidentes. Para garantizar que la plataforma SOAR que elija su organización le proporcione el mayor retorno de la inversión (ROI), es importante plantearse (y plantearse a su proveedor) preguntas que le ayudarán a seleccionar la plataforma que mejor se adapte a sus necesidades.

Calculadora de ROI de carriles

Calcule el ahorro que puede conseguir con Swimlane Turbine.

Calcular ahorros