용어와 정의
영문 또는 원어: SOAR
영문 정식명칭: Security Orchestration, Automation, and Response
한글명: 보안 조정과 자동화 및 대응
SOAR는 보안 도구와 대응 절차를 연결하고 반복 작업을 자동화해 사건 처리를 지원하는 영역입니다.
정확한 의미와 원리
경고의 추가 정보 수집, 담당자 배정과 승인된 조치 등을 실행 흐름으로 구성할 수 있습니다. 자동화할 부분과 사람이 판단할 부분을 구분해야 합니다.
쉽게 이해하는 사용 예시
의심 계정 경고가 발생했을 때 관련 기록을 모아 담당자에게 제공하고 승인 뒤 제한 조치를 수행하는 흐름을 만들 수 있습니다.
종류와 관련 개념의 차이
SIEM은 수집과 탐지 분석, SOAR는 절차 연결과 대응 자동화에 초점을 둡니다. 플레이북은 정해진 조건과 작업 흐름을 표현하며 제품마다 실행 방식이 다릅니다.
적용 조건과 오해하기 쉬운 점
자동 계정 잠금이나 장비 격리는 정상 업무를 중단시킬 수 있습니다. 신뢰할 입력, 최소 권한과 승인 및 중단과 복구 조건을 검증해야 합니다.