Nền tảng tự động hoá phản ứng sự cố (SOAR)

Vì sao cần tự động hoá

Phần lớn thời gian của chuyên viên an ninh mạng bị tiêu vào các thao tác lặp lại: tra cứu địa chỉ IP, đối chiếu danh sách mã độc, thu thập nhật ký liên quan, thông báo cho các bên. Những việc này máy làm nhanh hơn người và không bỏ sót. SOAR giải phóng chuyên viên để họ tập trung vào phần việc cần phán đoán.

Ranh giới của tự động hoá

Không phải quyết định nào cũng nên giao cho máy. Nguyên tắc thực tế:

• Tự động hoàn toàn — các bước thu thập dữ liệu và làm giàu thông tin, không gây tác động
• Tự động có phê duyệt — các hành động ngăn chặn có ảnh hưởng tới người dùng
• Giữ cho con người — quyết định liên quan tới hệ thống nghiệp vụ trọng yếu

Lưu ý triển khai

SOAR chỉ phát huy khi quy trình xử lý sự cố đã được chuẩn hoá. NST hỗ trợ rà soát và chuẩn hoá quy trình trước khi mã hoá chúng thành kịch bản tự động.