实践SOAR

Posted on | In | Visitors

SOAR = Security Orchestration, Automation and Response（安全编排、自动化与响应）。

简单理解：

SIEM 负责发现安全事件，SOAR 负责按照预先设计的流程，自动调查和处置安全事件。

如果把 SIEM 比作安全监控中心，那么 SOAR 就是安全事件的自动化处置指挥系统。

一、SOAR 是怎么工作的？

假设支付系统遭到 Web 注入攻击。

SIEM / Wazuh

检测到高危安全事件

SOAR 自动化响应引擎

  1. 接收告警

    SIEM Webhook 触发工作流

  2. 自动调查

    查询 IP 威胁情报、关联 WAF 日志、检查容器进程

  3. 风险评估

    结合资产重要性、IOC 和攻击行为判断严重程度

  4. 自动或人工审批响应

    封禁恶意 IP、隔离 Pod、冻结账号或升级人工处理

  5. 记录与通知

    保存证据、创建工单、通知安全负责人

Akamai

封禁 IP

Kubernetes

隔离工作负载

Teams

通知负责人

这里最关键的概念是 Playbook（安全响应剧本）。

它类似 Jenkins Pipeline，只不过 Jenkins 自动执行构建、测试和部署，而 SOAR 自动执行安全事件调查和响应。

二、SOAR 的三大核心能力

能力 英文 具体作用
安全编排 Orchestration 把 WAF、EDR、SIEM、IAM、Kubernetes 等系统的 API 串联起来
自动化 Automation 自动查询威胁情报、收集证据、分析事件、生成工单
安全响应 Response 自动封禁 IP、禁用账号、隔离主机、通知安全人员

例如 Wazuh 检测到异常进程后，SOAR 可以自动调用 NeuVector API，限制受影响容器的网络访问。

但对于支付生产系统，建议先自动调查、人工审批阻断操作，避免误报导致支付服务中断。

三、有哪些开源 SOAR 平台？

产品 特点 推荐场景
Shuffle SOAR 可视化工作流，支持安全工具 API 编排 优先考虑
StackStorm 事件驱动自动化，适合复杂脚本和基础设施操作 技术团队主导的自动化
TheHive 安全事件和案件管理，配合 Cortex 执行分析动作 SOC 调查与协作
DFIR-IRIS 开源事件响应和调查管理 事件追踪、证据管理
n8n 通用工作流引擎，可通过 API 构建部分 SOAR 能力 已有自动化基础设施

需要注意，TheHive、DFIR-IRIS 更偏事件管理，不是完整 SOAR 的直接替代品；不同产品的社区版、商业版功能和许可证也需要分别核实。

四、SOAR 与 SIEM、XDR、EDR 的关系

系统 主要职责 举例
EDR 检测服务器异常 发现恶意进程
NeuVector 保护容器运行环境 检测异常容器行为、限制网络通信
SIEM 集中分析安全事件 关联 WAF 与容器告警
XDR 跨安全域检测和响应 还原完整攻击链
SOAR 编排和自动化处置 调用 API 隔离容器并通知负责人

这些系统的能力有重叠，但 SOAR 最突出的特点是把检测结果转化成可执行的响应流程。

五、推荐方案

使用 Kubernetes、Akamai、Azure，并且需要满足支付业务安全审计要求，可以考虑：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
Akamai WAF ─────┐
NeuVector ──────┤
Wazuh EDR ──────┼──→ Wazuh SIEM
Azure Audit ────┤         │
K8s Audit ──────┘         ▼
                     Shuffle SOAR
                          │
             ┌────────────┼─────────────┐
             ▼            ▼             ▼
         自动调查      人工审批       事件记录
             │            │             │
        IOC 查询      Akamai 封禁     工单/证据
        日志关联      NeuVector 隔离  审计报告
        风险评估      IAM 禁用账号
                          │
                          ▼
                    Teams 安全通知

我建议分三个阶段实施：

  1. 第一阶段：自动调查。自动收集告警上下文、威胁情报、进程信息、日志和关联事件，不直接改变生产环境。
  2. 第二阶段：半自动响应。安全负责人审批后执行封禁、隔离、账号禁用等操作，保留审批和执行记录。
  3. 第三阶段：有限自动阻断。仅对高置信度、低业务影响的场景启用自动响应，并提供回滚机制。

对于你们之前遇到的 Java Agent 注入事件，还应该特别注意：先保存关键取证证据，再执行容器重建或清理操作，否则可能丢失内存中的攻击痕迹。

我的建议是：Wazuh + NeuVector + Shuffle SOAR。 这三个开源组件可以形成从安全检测、事件分析到自动化响应的基础闭环，再根据调查需求补充 Velociraptor。

最重要的不是一开始就实现自动封禁，而是先让系统做到：发现攻击后，能够在几分钟内自动收集证据、识别受影响资产、生成调查结果，并通知正确的负责人。