SOAR

Ihr SIEM erkennt um 03:00 Uhr ein kompromittiertes Konto. Jemand muss jetzt: * Deaktivieren des Kontos, * Blockieren einer IP, * Erstellen eines Vorfalls, * Sicherheit benachrichtigen. Das manuelle Wiederholen dieser Schritte verschwendet kritische Zeit.

SOAR steht für Security Orchestration, Automation and Response. In Azure kann Sentinel einen Logic Apps Workflow auslösen, der als Playbook bezeichnet wird und autorisierte API-Aufrufe verwendet, um ein Konto zu deaktivieren, ein Ticket zu erstellen oder das Team zu benachrichtigen.

Detektion
   ↓
Reaktionsworkflow
 → Konto deaktivieren
 → Ticket erstellen
 └→ Team benachrichtigen

SIEM erkennt verdächtige Aktivitäten und unterstützt Untersuchungen; SOAR automatisiert die Reaktion. Microsoft Sentinel bietet beide Funktionen.