SOAR está muerto, larga vida SOAR

Lo que Gartner ofrece, Gartner se lo puede quitar.

Hace siete años, los analistas de la firma de inteligencia empresarial acuñaron el término «orquestación, automatización y respuesta de seguridad» (SOAR) para describir lo que vieron como una nueva clase de productos: operaciones de seguridad integradas que no solo detectan amenazas y problemas, sino que también lo hacen. El uso de manuales también puede respaldar los esfuerzos de los equipos de respuesta a incidentes y, en última instancia, automatizar completamente la respuesta.

Por eso no es de extrañar que Gartner nombrara la tecnología hace dos meses como «obsoleto antes de la meseta«—lo que significa que la categoría se estancó antes de convertirse en una herramienta de TI bien establecida—causó entusiasmo. Los clientes acribillaron a la empresa con preguntas sobre lo que significaba la designación. Los proveedores de automatización de seguridad dijeron que se volvieron más directos.

La afirmación de que SOAR está muerto es «la cosa más estúpida que he oído jamás: absolutamente estúpida», dijo James Brear, director ejecutivo de Swimlane, un proveedor de soluciones de automatización de operaciones de seguridad. «Si tan sólo… [term] SOAR y agregó la palabra automatización, [then the assertion] Suena ridículo. Es como decir que la IA está desapareciendo”.

SOAR no es la primera tecnología en recibir el temido «de Gartner»Ciclo de exageración» Designación. En 2022 Las redes de datos quedaron obsoletas antes de que se alcance la meseta –más formalmente, la “meseta de productividad”. En 2020, Gartner le puso la etiqueta Planificación de necesidades de materiales basada en la demandaun enfoque de gestión de la cadena de suministro. Lo mismo se aplica a Banda ancha sobre líneas eléctricas en 2010.

«Esta obsolescencia prematura suele ser el resultado de la aparición de una tecnología competidora; por ejemplo, la televisión analógica de alta definición ha sido sustituida por la televisión digital de alta definición», explicó Gartner en una explicación de su modelo Hype Cycle.

En el caso más reciente, SOAR ha quedado obsoleto porque los componentes de la categoría de producto han sido adoptados por otros productos y servicios, mientras que la automatización se espera cada vez más como una característica, dice Eric Ahlm, director analista senior de Gartner. Los centros de operaciones de seguridad (SOC) necesitaban la orquestación como una característica independiente para integrar productos dispares en un único centro de operaciones, explica el analista, y a medida que los clientes empresariales buscaban operaciones simplificadas, los proveedores integraron aún más sus servicios para integrar SOAR con otros productos y servicios para consolidar servicios.

Una serie de fusiones y adquisiciones subraya esta tendencia. Redes de Palo Alto compró Demisto en 2019 Y ha adquirido QRadar de IBM A principios de año. rápido7 compró la empresa SOAR Komand en 2017, y SumoLogic adquirió DFLabs en 2021.

«Hay muchas maneras diferentes de introducir la automatización (aumentando la eficiencia o escalando a través de la automatización) sin tener que comprar una plataforma SOAR independiente y dedicada», dice Ahlm. «Eso es lo que realmente estamos anunciando, no el fin de la automatización o que sea un concepto sin salida, pero no creo que el espacio de los proveedores que venden algo más que plataformas dedicadas a la automatización tenga un futuro muy prometedor».

Se busca: un centro de seguridad simplificado

La mayoría de las organizaciones quieren un centro central para toda su información de seguridad desde el cual puedan gestionar incidentes, realizar investigaciones y responder a amenazas. Originalmente, SOAR estaba destinado a ser este centro central, pero gracias a una fuerte integración entre productos, una mejor automatización y un enfoque en la transparencia, ahora otros productos pueden asumir esta función.

En otras palabras, el eje central no necesariamente tiene que ser SOAR. La elección de la plataforma de operaciones de seguridad depende cada vez más de dónde comienza una empresa y qué plataforma central cree que proporcionará el mayor valor, afirma Ahlm. Tanto las plataformas de detección y respuesta extendidas (XDR) como las de gestión de información y eventos de seguridad (SIEM), por ejemplo, se están convirtiendo cada vez más en un foco de seguridad para las organizaciones.

Las capacidades de SOAR (integración, visibilidad y respuesta automatizada) se han trasladado a una variedad de productos de seguridad, dice Chas Clawson, director de tecnología de campo de Sumo Logic, un proveedor de plataformas de operaciones de seguridad automatizadas.

«Se muestra la madurez del mundo de las operaciones de seguridad cuando algo tan importante como la automatización se convierte en algo en juego y cada solución debe tener algún nivel de automatización», afirma. “Probablemente hace mucho que debería haberse hecho [because of the] Dolor… desde el lado del defensor: agotamiento del analista y síndrome de la silla giratoria… [from which] Realmente necesitamos un respiro”.

Sumo Logic tiene su propio producto SOAR, Cloud SOAR, que se centra en integrar flujos de datos de varios dispositivos de TI, productos de seguridad y servicios en la nube, así como en automatizar operaciones de seguridad.

Siguen siendo buenos argumentos para un mejor SOAR

Otra empresa detrás de SOAR es la empresa de ciberseguridad Palo Alto Networks, que ha redoblado sus esfuerzos de automatización de la seguridad. El centro de operaciones de seguridad de la empresa procesa 36 mil millones de eventos por día (un volumen de más de 75 terabytes) con sólo 10 analistas humanos. En su caso de uso, la compañía dice que su Cortex XSOAR automatiza el trabajo de 16 analistas y reduce el tiempo dedicado a acciones manuales en un 90%.

«Al estandarizar y automatizar tareas manuales que consumen mucho tiempo, las soluciones SOAR reducen significativamente el tiempo de respuesta a incidentes», dijo Gonen Fink, vicepresidente senior de productos en la nube Cortex y Prisma de Palo Alto Networks. «Si bien muchos productos de seguridad independientes continúan incorporando cierto nivel de automatización, las soluciones SOAR brindan capacidades más sólidas al orquestar y automatizar diversas acciones en toda la pila tecnológica de una organización».

Swimlane también se ha centrado en automatizar las tareas de seguridad y la respuesta a incidentes, normalmente para empresas más grandes como Fortune 2000. Fundada en 2014, tres años antes de que Gartner acuñara el término moderno SOAR, el enfoque de la empresa es recopilar datos de todos los dispositivos de TI e información de productos de seguridad y luego automatizar la respuesta a cualquier incidente detectado, dice Brear de Swimlane.

“La creación [of the company was]»‘¿Cómo podemos mejorar el SOC?'», dice. «Si miras hacia atrás en el pasado, había un montón de herramientas diferentes que la gente de SOC estaba analizando; es complicado tratar de obtener una descripción general».

Por estas razones, una plataforma SOAR independiente es un enfoque de seguridad necesario y sensato para muchas empresas, y está lejos de estar desactualizado. Sin embargo, según la firma de analistas Omdia, los clientes seguirán necesitando una mejor integración con tecnologías populares como Microsoft y las plataformas gestionadas de detección y respuesta (MDR).

«Los usuarios de tecnología de seguridad quieren soluciones que sean fáciles de usar, que requieran una formación mínima y que se integren fácilmente», afirma Elvia Finalle, analista senior de Omdia. «Los proveedores de SOAR deben seguir adaptándose a las plataformas y ampliar su compatibilidad con otros proveedores y soluciones».

IA + automatización = evolución de la seguridad

El caso de uso principal de SOAR sigue siendo sólido, pero la combinación de inteligencia artificial, automatización y la gran cantidad actual de productos de ciberseguridad dará como resultado una plataforma que podría quitarle participación de mercado a los sistemas SOAR, como un SIEM de próxima generación impulsado por IA, dice Eric Parizo, analista principal senior de Omdia.

“Los tomadores de decisiones del SOC están [not] Está buscando orquestación y automatización y, al mismo tiempo, resuelve el problema de conducir un TDIR más rápido y eficiente. [threat detection, investigation, and response] ciclo de vida con resultados mejores y más consistentes», afirma. «Las capacidades de orquestación y automatización en las soluciones SOAR independientes están diseñadas para respaldar estos objetivos comerciales».

La IA y el aprendizaje automático seguirán impulsando la automatización, afirma Clawson de Sumo Logic. Si bien el desarrollo de agentes de seguridad de IA que procesan datos y responden automáticamente a las amenazas aún está en su infancia, la industria claramente se está moviendo en esta dirección, especialmente a medida que más infraestructura adopta un enfoque «como código», como la infraestructura como código, dijo. dice.

El resultado podría ser un enfoque que reduzca la necesidad de SOAR.

«Si tienes esta tecnología de copiloto, habrás escuchado el término ‘agentificación’, [where] «Tienes a este agente a tu disposición que puede hacer lo que quieras, lo que disminuye el valor de SOAR», dice Clawson. «Debido a que la IA puede ser un programador y desarrollador experto y tiene acceso a todas las API y a toda la documentación, casi automáticamente puedes comenzar a interactuar con los sistemas de una manera más humana».

No te pierdas lo último Podcast confidencial de lectura oscura, Allí hablamos con dos expertos en ciberseguridad que fueron arrestados en el condado de Dallas, Iowa, y obligados a pasar una noche en la cárcel sólo por realizar sus pruebas de penetración. ¡Escuche ahora!