深入研究SOAR的核心能力——安全编排与自动化
人员是根本：SOAR强调以人为本。安全运营工作本质上是由安全运营团队及其相关干系人的一系列安全运营活动构成的。SOAR的目的是为了使能安全团队，为他们赋能，而不是取代他们。我们常说网络安全的本质是对抗，而对抗最终都是人与人之间的攻防。
协作是使命：安全运营过程中面临各种人、流程和技术之间的碎片。安全运营要取得成效，必须让团队、流程和技术协同起来，必须注重团队协作。SOAR不是取代协作，而是强化协作。
流程是基础：要实现实战化、有效化的安全运营，涉及的内容很多。其中，对于SOAR而言，其核心目标就是为了加速安全流程的标准化、自动化、智能化。因此，要想发挥SOAR的核心作用，必先梳理出组织自身的标准安全操作流程和规程。
编排是核心：编排是SOAR的核心和最重要的能力。编排的过程就是将团队、流程、技术和工具等各种要素以流程为纲整合到一起以服务于安全运营的过程。看一款产品是不是SOAR产品，第一条就是看其是否具备安全运营流程的编排能力。
自动是手段：对SOAR而言，自动化能力，高低决定了安全编排所能发挥的价值大小。一方面，安全编排往往通过自动化的手段来执行，以提升编排的执行效率，通过减少人的参与来降低人为错误因素的影响。另一方面，自动化是手段，不是目标，不要唯自动化。
响应是场景：安全编排与自动化适用于安全运营防御、检测和响应的各个环节，并不限于响应。但由于现阶段人们对于响应工作的重视，以及响应环节在安全运营工作中相对薄弱，SOAR首要的应用场景是响应。
提效是目标：SOAR的目标是辅助安全运营人员的工作，以数字化可度量的方式提升他们的工作效率，从而提升安全运营的效能，增强安全弹性。
安全能力编排化（Security Capability Orchestration）是指系统一方面可以通过自底向上地通过安全设施接口化和安全接口应用化实现安全应用编排化；另一方面则自顶向下地将安全运营者的安全运营过程和规程进行形式化落地，实现运营过程的剧本化。最后，借助运营过程剧本化和安全应用编排化，实现安全能力的集成与编排，并为安全流程的自动化执行奠定基础。
应用（Application）是指企业和组织安全运营过程中需要用到的各种安全设施通过API或GUI暴露出来的功能，经过标准化统一封装后形成的安全能力，并以服务的方式对外呈现出来。应用执行的最小操作单元是动作，即这个应用中所包含的操作指令。通常，一个应用包括多个动作（Action）。
剧本（Playbook）是安全运营流程在安全编排系统中的形式化表述，通常是在编排器中的工作流引擎驱动下执行。编写剧本的过程就是将安全运营流程和规程转换为剧本，并在剧本中将各种应用编排到一起的过程，也是将人读安全运营流程转换为机读工作流的过程。
最高层剧本：是面向安全运营过程和规程的，也就是面向“安全业务”的，是对过程和规程的业务描述。此时，每个过程节点都是意图级别的；
中间层剧本：将业务描述剧本转义为编排引擎可以执行的应用描述后，就成为了中间层剧本，有的称之为执行剧本（Runbook），也有的（譬如IACD）称之为工作流（Workflow）。这时候，每个过程节点的意图都转义为具体的应用和动作；
最底层剧本：编排引擎在加载中间层剧本后，会变成一个个运行实例，实现了与目标应用系统的绑定。
安全过程自动化（Security Process Automation）是指安全运营过程与规程尽可能地自动化执行，从而大大提升安全流程的执行效率，节约时间和人力成本，并确保能够持续达成预期的效果。
自动化告警分诊：系统能够基于一些列预定义的预处理策略、关联分析策略和合并策略自动化对告警严重性和处置优先级进行划分； 自动化安全响应：针对需要进行调查/响应的告警信息，系统能够基于预定义的响应策略自动化地执行匹配的剧本和应用动作； 自动化剧本执行：系统所有的剧本都通过编排器进行加载，并在工作流引擎的驱动下自动化的执行； 自动化应用执行：剧本在工作流引擎里执行过程中如果某个活动需要调用集成化的安全能力，系统会自动激活应用执行引擎，并通过应用集成框架对相关能力进行接口调用，并将返回结果送回工作流引擎； 自动化案件处置：将告警或者相关痕迹物证信息加入案件中后，系统会根据预定义的处置策略自动化地执行匹配的剧本和应用动作； 自动化服务调用：系统对外提供API调用接口，供外部第三方应用系统调用，为它们提供编排、自动化与响应服务。 总之，借助安全过程自动化，真正提升了安全运营人员的协同工作效率，缓解了重复性劳动的压力，降低了人为错误的概率，减少了安全事件的平均响应时间。