El SOAR que no elegiste

El SOAR que no elegiste

Recuerda cómo tu plataforma de orquestación, automatización y respuesta de seguridad (SOAR) terminó integrándose en tu infraestructura. ¿Fue una decisión deliberada, el resultado de una evaluación exhaustiva de tus necesidades específicas? ¿O simplemente llegó como parte de una compra mayor?

Para muchos equipos de seguridad, la respuesta sincera es la segunda. El SOAR no fue seleccionado. Simplemente se incluyó en el proyecto.

Esa distinción es más importante de lo que parece a simple vista. La automatización de la seguridad moldea el trabajo diario de sus analistas. Determina la rapidez de respuesta, la escalabilidad y la comunicación entre sus herramientas. Una plataforma tan importante merece ser elegida por sus propios méritos. Sin embargo, para muchos equipos, nunca fue así.

Cómo SOAR termina incluido en un paquete

El proceso es conocido. Un proveedor presenta una plataforma integral: SIEM, inteligencia de amenazas, protección de endpoints y, tal vez, una capa de servicios gestionados. SOAR también está incluido, integrado en la plataforma. El equipo de compras ve un contrato más claro y menos proveedores que gestionar. El acuerdo tiene sentido sobre el papel. Así que se da por finalizado el proceso. SOAR viene incluido.

Nadie se detuvo a analizar si ese motor de automatización específico era el más adecuado para el entorno. Nadie lo comparó con las alternativas. La decisión se basó en el conjunto, y el SOAR quedó relegado a un segundo plano.

Esto no es una crítica a la ingeniería detrás de estas herramientas. Palo Alto XSOAR, Splunk SOAR y FortiSOAR son productos competentes desarrollados por equipos serios, pero lo cierto es que, si bien estas plataformas SOAR fueron excelentes en su momento, no se han innovado en años y ya no están diseñadas para mantenerse al día con las amenazas actuales.

Las 4 principales ventajas y desventajas que nadie leyó en voz alta

Cada paquete es una serie de concesiones que nunca aceptaste explícitamente. No aparecen en la presentación inicial. Surgen más tarde, en el día a día de las operaciones. Ajuste heredado. Cuando SOAR forma parte de un acuerdo más amplio, se optimiza para la venta del proveedor, no para tus flujos de trabajo específicos. Te adaptas a la herramienta en lugar de que la herramienta se adapte a ti. Con el tiempo, tu equipo crea procesos en torno a sus limitaciones y llega a considerarlas normales.

1. El sesgo del ecosistema SOAR. 

Una solución SOAR integrada está diseñada para fortalecer la relación con la plataforma principal. Se integra a la perfección con el ecosistema del proveedor y se vuelve notablemente más rígida en otros ámbitos. Las integraciones que el proveedor promueve suelen ser las que impulsan las ventas de su propia plataforma. Sin embargo, ninguna operación de seguridad real depende de un solo proveedor. La mayoría de los entornos se nutren de múltiples fuentes, y una solución SOAR que prioriza una de ellas suele relegar al resto a un segundo plano.

2. El sistema SOAR heredado redujo su flexibilidad. 

Los cambios que deberían tomar una tarde pueden requerir un especialista. Las actualizaciones se rigen por los plazos del proveedor, no por los tuyos. La automatización que más deseas implementar a veces es la que la plataforma dificulta más. Nada de esto es dramático. Es un desgaste gradual del tiempo y la ambición de tu equipo.

3. Dependencia del proveedor con SOAR integrado 

Esta es la parte que rara vez se discute al firmar un contrato. Cada estrategia que creas dentro de un ecosistema cerrado dificulta tu salida. Cada integración, cada flujo de trabajo, cada dependencia aumenta el costo de cambiar de opinión constantemente. El paquete es fácil de adoptar. Esa comodidad es la estrategia. La verdadera pregunta no es qué tan fácil fue empezar, sino qué tan atrapado te sentirás dentro de tres años.

4. Un SOAR conveniente ahora se convierte en una limitación más adelante.

La agrupación de productos resuelve un problema de adquisiciones. Simplifica la gestión de proveedores y simplifica el contrato. Son ventajas reales y valiosas.

Pero la conveniencia en las compras y la realidad operativa son dos cosas distintas. La decisión que facilita una renovación en la sala de juntas puede complicar las cosas en el SOC. Son los analistas quienes sienten la brecha entre lo que se compró y lo que realmente necesitan.

Así es como la automatización "suficientemente buena" limita silenciosamente el potencial de un equipo. La herramienta incluida no está defectuosa; funciona lo suficientemente bien como para que nadie la cuestione. Mientras tanto, el equipo busca soluciones alternativas, acepta las limitaciones como algo inevitable y olvida poco a poco lo que una plataforma diseñada para ellas podría realmente hacer.

Consideraciones honestas para reevaluar SOAR

Unas cuantas preguntas pueden ayudarte a llegar allí:

• ¿Su solución SOAR automatiza de forma eficiente toda su infraestructura tecnológica o solo las herramientas de un único proveedor?
• ¿Cuánto tiempo se tarda en crear o modificar un flujo de trabajo eficaz, y quién debe hacerlo?
• Si quisieras irte, ¿cuánto de lo que has construido tendrías que reconstruir desde cero?
• ¿Esta plataforma se ganaría un lugar en su entorno si tuviera que triunfar por sí sola?

Un camino mejor hacia adelante

Aquí es donde Turbina de carriles de natación entra en escena y por qué pensamos de manera diferente sobre el problema.

Turbine es independiente del proveedor por diseño. No se creó para reforzar un ecosistema ni para incitarte a comprar más productos de un solo proveedor. Se diseñó para gestionar tu entorno tal como existe: mixto, en constante evolución y repleto de herramientas de diversas fuentes. Tu automatización se adapta a tu infraestructura tecnológica, no a la hoja de ruta de un proveedor.

Esa apertura es la clave. Cuando tu enfoque de automatización no está ligado a una sola plataforma, puedes mantener tus opciones abiertas, adaptarte rápidamente y coordinar todo lo que ejecutas, en lugar de solo las partes aprobadas.

Si te preocupa que el cambio implique reconstruir todo lo que ya has creado, es una preocupación válida, y la hemos resuelto. Swimlane puede migrar hasta 90% de tus flujos de trabajo existentes desde tu plataforma actual. La parte más compleja se gestiona en gran medida antes de empezar, así que cambiar de opinión no significa empezar de cero.

Usted eligió su SIEM. Usted eligió sus herramientas de punto final. También debería poder elegir cómo se orquesta su entorno, según sus méritos, para su entorno y en sus propios términos.

Así que hazte la pregunta con sinceridad. Luego decide qué es lo que tu equipo realmente merece.