[et_pb_section fb_built=\u00bb1″ admin_label=\u00bbSection\u00bb _builder_version=\u00bb4.22.0″ _module_preset=\u00bbdefault\u00bb custom_margin=\u00bb0px||0px||false|false\u00bb custom_padding=\u00bb0px||0px||false|false\u00bb locked=\u00bboff\u00bb global_colors_info=\u00bb{}\u00bb][et_pb_row column_structure=\u00bb1_4,3_4″ _builder_version=\u00bb4.27.0″ _module_preset=\u00bbdefault\u00bb custom_padding=\u00bb50px||||false|false\u00bb custom_css_main_element=\u00bbz-index:0!important;\u00bb global_colors_info=\u00bb{}\u00bb][et_pb_column type=\u00bb1_4″ disabled_on=\u00bbon|on|off\u00bb _builder_version=\u00bb4.22.0″ _module_preset=\u00bbdefault\u00bb custom_padding=\u00bb||||false|false\u00bb sticky_position=\u00bbtop\u00bb sticky_offset_top=\u00bb100px\u00bb sticky_limit_bottom=\u00bbsection\u00bb motion_trigger_start=\u00bbtop\u00bb global_colors_info=\u00bb{}\u00bb][et_pb_text admin_label=\u00bbindice\u00bb _builder_version=\u00bb4.27.0″ _module_preset=\u00bbdefault\u00bb custom_margin=\u00bb||0px||false|false\u00bb custom_padding=\u00bb||14px||false|false\u00bb link_option_url=\u00bb#1″ global_colors_info=\u00bb{}\u00bb]<\/p>\n
Secciones<\/strong><\/p>\n [\/et_pb_text][\/et_pb_column][et_pb_column type=\u00bb3_4″ _builder_version=\u00bb4.27.0″ _module_preset=\u00bbdefault\u00bb custom_css_main_element=\u00bbz-index:0!important;\u00bb global_colors_info=\u00bb{}\u00bb][et_pb_text admin_label=\u00bbseccion\u00bb module_id=\u00bb1″ module_class=\u00bbittopicscontent\u00bb _builder_version=\u00bb4.27.0″ _module_preset=\u00bbdefault\u00bb z_index=\u00bb0″ custom_margin=\u00bb0px||0px||true|false\u00bb custom_padding=\u00bb0px||0px||false|false\u00bb custom_css_main_element=\u00bbfont-family:%22Pandora-Light%22;\u00bb locked=\u00bboff\u00bb global_colors_info=\u00bb{}\u00bb]En ciberseguridad, hay algo casi tan numeroso como las vulnerabilidades, los acr\u00f3nimos. Y hoy vamos a tratar uno fundamental si queremos que nuestro departamento de ciberseguridad funcione \u00f3ptimamente: SOAR (Security Orchestration, Automation and Response u Orquestaci\u00f3n de Seguridad, Automatizaci\u00f3n y Respuesta). De implementar estas siglas depender\u00e1 que nuestra respuesta a incidentes sea veloz y, sobre todo, eficiente. Las pel\u00edculas dan la imagen de que la seguridad inform\u00e1tica consiste en hackers con enorme conocimiento peleando en la terminal, escribiendo hechizos incomprensibles en una pantalla negra. O tecleando a toda velocidad incoherencias, hasta que el m\u00e1s r\u00e1pido dice \u00abestoy dentro\u00bb. En la situaci\u00f3n actual, implementar un SOAR es imprescindible en organizaciones con cierta complejidad, tama\u00f1o o importancia estrat\u00e9gica. \u00bfPor qu\u00e9? Porque la ciberserguridad hoy se parece m\u00e1s a \u00abdesangrarse por mil peque\u00f1os cortes\u00bb que al enfrentamiento contra adversarios que lanzan ataques zero-day<\/strong> con t\u00e9cnicas en la punta de lanza. Los pilares que sustentan una soluci\u00f3n SOAR vienen dados por las letras de su acr\u00f3nimo:<\/p>\n Orquestaci\u00f3n significa coordinar herramientas y sistemas de seguridad<\/strong>, como un SIEM<\/a>, EDRs, firewalls… Dependiendo de la soluci\u00f3n elegida, se puede aplicar mediante APIs, conectores, etc. En el n\u00facleo de funcionamiento del SOAR est\u00e1n los playbooks<\/strong> de los que habl\u00e1bamos. Es importante no confundir playbook con runbook<\/strong>. Este \u00faltimo es un proceso a seguir, al estilo de las recetas de la abuela por pasos lineales, para realizar una acci\u00f3n, como levantar un servicio ca\u00eddo. Las ventajas de un SOAR son claras. A nuestro peque\u00f1o ej\u00e9rcito de ciberseguridad le sumamos drones automatizados que se despliegan en el campo de batalla cuando la monitorizaci\u00f3n de seguridad<\/a> ha encontrado algo. As\u00ed eliminamos esos constantes \u00abpeque\u00f1os cortes que nos desangran recursos\u00bb. Hemos visto ejemplos de amenazas ante las cuales un SOAR<\/A> es ideal para no volver (a\u00fan m\u00e1s) locos a nuestros ingenieros, pero otros casos de uso habituales son:<\/p>\n En ciberseguridad, como en la vida, no existen blancos y negros, ni fronteras siempre bien delimitadas. Adem\u00e1s, hay una inclinaci\u00f3n a que las herramientas traten de ampliar sus funcionalidades<\/Strong>. As\u00ed, un SIEM puede tener ciertas prestaciones de respuesta automatizada y SOAR cierta capacidad de an\u00e1lisis, pero la clave de la seguridad \u00f3ptima es poner a trabajar juntos a ambos especialistas<\/strong>. SIEM (Detecci\u00f3n)<\/strong><\/p>\n<\/td>\n SOAR (Respuesta)<\/strong><\/p>\n<\/td>\n<\/tr>\n Función principal<\/strong><\/p>\n<\/td>\n Recopila y correlaciona logs para detectar anomal\u00edas.<\/p>\n<\/td>\n Automatiza y coordina la respuesta a incidentes.<\/p>\n<\/td>\n<\/tr>\n Enfoque<\/strong><\/p>\n<\/td>\n \u00bfQu\u00e9 est\u00e1 pasando?<\/p>\n<\/td>\n \u00bfC\u00f3mo lo solucionamos?<\/p>\n<\/td>\n<\/tr>\n Tareas clave<\/strong><\/p>\n<\/td>\n – Agregar logs de m\u00faltiples fuentes.<\/p>\n – Generar alertas basadas en reglas.<\/p>\n – Cumplimiento normativo (GDPR, ISO 27001…).<\/p>\n<\/td>\n – Ejecutar playbooks de respuesta.<\/p>\n – Orquestar herramientas (EDR, firewall).<\/p>\n – Gestionar falsos positivos.<\/p>\n<\/td>\n<\/tr>\n Automatizaci\u00f3n<\/strong><\/p>\n<\/td>\n Limitada.<\/p>\n<\/td>\n Avanzada.<\/p>\n<\/td>\n<\/tr>\n Interacci\u00f3n humana<\/strong><\/p>\n<\/td>\n Habitual.<\/p>\n<\/td>\n Reduce la carga con automatizaci\u00f3n.<\/p>\n<\/td>\n<\/tr>\n Ejemplo pr\u00e1ctico<\/strong><\/p>\n<\/td>\n Detecta 50 intentos de login fallidos desde una IP externa, emite alerta al SOAR.<\/p>\n<\/td>\n Bloquea la IP, resetea la contrase\u00f1a y notifica al SOC.<\/p>\n<\/td>\n<\/tr>\n Ventaja clave<\/strong><\/p>\n<\/td>\n Visibilidad centralizada de amenazas.<\/p>\n<\/td>\n Respuesta r\u00e1pida y estandarizada.<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n SOAR no puede funcionar solo.<\/strong> Depende, como hemos visto, de su conexi\u00f3n al SIEM (en caso de haberlo) o a otros programas (como un IDS) para que le digan sobre qu\u00e9 tiene que actuar. Sin embargo, tambi\u00e9n depende de conectarse a otros dispositivos para poder ejecutar sus playbooks. Esa es la orquestaci\u00f3n de su nombre, dirigiendo con su batuta a los dem\u00e1s elementos para responder a la amenaza. Como podemos ver, el SOAR depende de las conexiones con otras tecnolog\u00edas, en uno y otro sentido, para orquestar y responder de forma autom\u00e1tica.<\/p>\n Leyendo esto, cualquier responsable de ciberseguridad querr\u00e1 tener de su lado ese ej\u00e9rcito de peque\u00f1os \u00abrobots programables\u00bb, que ayudan en lo tedioso y no necesitan comer o ser fustigados, al contrario que sus ingenieros.\n
\nPor eso, analizaremos qu\u00e9 es SOAR, para qu\u00e9 sirve, c\u00f3mo funciona y c\u00f3mo puede multiplicar nuestra efectividad<\/strong> contra amenazas. O, al menos, hacernos los d\u00edas m\u00e1s llevaderos.<\/p>\n\u00bfQu\u00e9 es SOAR?<\/h2>\n
\nNada m\u00e1s lejos de una realidad de teclados con migas de Doritos, script kiddies pegando instrucciones que no comprenden, toneladas de spam y phishing por minuto y usuarios corriendo a hacer clic justo donde has dicho que ni se les ocurra.
\nEn ese contexto, SOAR es una tecnolog\u00eda que permite dos objetivos principales:<\/p>\n\n
\nLos escaneos de puertos constantes, los miles de emails de phishing, el uso de credenciales antiguas filtradas a la web oscura… Somos Gulliver sobrepasados por la fuerza del n\u00famero de diminutos liliputienses.
\nEn ese contexto, o automatizas respuestas, o tienes a tus expertos ocupados (y sobrepasados) por constantes tareas manuales de mitigaci\u00f3n de amenazas poco complejas. Un derroche de recursos<\/strong>.
\nUn SOAR ejecuta de forma automatizada esa labor de respuesta<\/strong>, pesada y repetitiva, pero necesaria.
\nSu objetivo no es sustituir al SOC<\/a>, sino quitarle peso de la espalda, liberando a expertos humanos para dedicarlos a tareas complejas de alto valor, como colapsar el ancho de banda con torrents de todas las temporadas de Star Trek, mientras las respuestas autom\u00e1ticas se ocupan de baneos de IPs y gesti\u00f3n de phishing.
\nSin un SOAR somos m\u00e1s vulnerables<\/strong>. Porque mientras tenemos a nuestros genios asignando tickets o actualizando listas de bloqueo, un hacker se ha colado por un dispositivo IoT, ha realizado movimiento lateral a una impresora y busca c\u00f3mo saltar a otro equipo y escalar privilegios, mientras los guardianes del templo est\u00e1n mitigando a mano el en\u00e9simo DDoS.<\/p>\nComponentes clave de una soluci\u00f3n SOAR<\/h2>\n
\n
\nEsta orquestaci\u00f3n permite la automatizaci\u00f3n de contramedidas<\/strong>, que es el siguiente componente clave de un SOAR.
\nUn ejemplo muy b\u00e1sico podr\u00eda ser analizar adjuntos de correo. En la herramienta SOAR se puede crear un flujo de respuesta (llamado playbook y que veremos m\u00e1s a fondo) para estos casos. Este puede consistir en analizar dichos adjuntos, comprobar que sean malware y, en ese caso, bloquear al remitente y poner en cuarentena el mensaje. Quiz\u00e1 mandando un aviso a dicho remitente, en caso de ser del dominio de la empresa, bloqueando preventivamente su cuenta.
\nLos playbooks de respuesta autom\u00e1tica pueden ser muy flexibles y, con ellos, no desperdicias cinco a\u00f1os de ingenier\u00eda en analizar adjuntos y bloquear cuentas.
\nFinalmente, viene la respuesta. La automatizaci\u00f3n de flujos anterior la contendr\u00e1 en ellos en muchas ocasiones, y dicha respuesta puede variar seg\u00fan la amenaza.
\nPor ejemplo, para cosas sencillas como la anterior, podemos automatizar ese bloqueo preventivo de cuenta del dominio. En otros casos, se puede definir un playbook que requiera aprobaci\u00f3n humana, incluyendo crear un mensaje para el SOC, a fin de que tome una decisi\u00f3n o cartas en el asunto.<\/p>\n\u00bfC\u00f3mo funciona un SOAR?<\/h2>\n
\nUn playbook (o \u00ablibro de jugadas\u00bb, t\u00e9rmino tomado de deportes como el f\u00fatbol americano, donde representan estrategias de juego predefinidas, que los jugadores conocen y los l\u00edderes en el campo se\u00f1alan para que se ejecuten) son flujos de trabajo automatizados que indican al SOAR qu\u00e9 debe hacer en cada situaci\u00f3n<\/Strong>.
\nDependiendo de la herramienta SOAR elegida, la creaci\u00f3n de dicho flujo puede ser programada en c\u00f3digo (Python, por ejemplo) o mediante no code o low code.
\nPor ejemplo, Splunk SOAR permite definir los playbooks de manera visual, creando un diagrama de flujo que indique qu\u00e9 se debe hacer en cada situaci\u00f3n, sin tener que estar tecleando condicionales if.
\nAs\u00ed, un ejemplo de flujo de trabajo t\u00edpico ser\u00eda:<\/p>\n\n
\nLos playbooks suelen ser m\u00e1s complejos y no lineales, tomando decisiones seg\u00fan condiciones, en lugar de seguir siempre los mismos pasos como un runbook.<\/p>\nBeneficios de implementar un SOAR en tu organizaci\u00f3n<\/h2>\n
\nEso produce:<\/p>\n\n
Casos de uso comunes de SOAR<\/h2>\n
\n
Diferencias entre SOAR y SIEM: \u00bfrivalidad o complemento?<\/h2>\n
\nAs\u00ed, hay un fuerte incentivo a que, por ejemplo, un software IDS, como Snort, no solo escanee la red, sino que tambi\u00e9n tenga funcionalidades de prevenci\u00f3n, pasando a ser un IPS.
\nUn SIEM y un SOAR suelen situarse en una \u00abposici\u00f3n contigua\u00bb dentro de la estructura de ciberseguridad. Por eso, tienen cierta tendencia a diluir la frontera que comparten y que uno adopte ciertas prestaciones del otro, para hacer su funcionalidad m\u00e1s atractiva.
\nSin embargo, SIEM y SOAR son dos especialistas de \u00e9lite, cada uno en lo suyo:<\/p>\n\n
\nSin embargo, es verdad que la respuesta ser\u00e1 tan buena como la informaci\u00f3n suministrada<\/strong>.
\nDe lo contrario, el SOAR empezar\u00e1 a bloquear masivamente IPs innecesarias si la informaci\u00f3n que recibe es mediocre, o borrar emails que deber\u00edan llegar al buz\u00f3n. De ah\u00ed la importancia de un SIEM que aglutine y analice la informaci\u00f3n antes de alertar al SOAR.<\/strong>
\nResumiendo:<\/p>\n\n\n
\n <\/td>\n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n Integraci\u00f3n de SOAR con otras herramientas de seguridad<\/h2>\n
\nAh\u00ed es donde entra la importancia de las APIs y los conectores, de que sean f\u00e1ciles de configurar y que la soluci\u00f3n trabaje bien en equipo.
\nPongamos un ejemplo de arquitectura SOAR moderna y c\u00f3mo funcionar\u00edan sus conexiones en un caso sencillo de malware<\/A>.<\/p>\n\n
Consideraciones para implementar una soluci\u00f3n SOAR<\/h2>\n
\nSin embargo, el SOAR no es la respuesta a todas las oraciones ni para todas las organizaciones. Antes de lanzarse, es necesario tener en cuenta algunas consideraciones<\/strong>.
\nLa primera, un an\u00e1lisis de necesidades<\/strong>.
\nDependiendo de nuestros recursos e infraestructura a proteger, quiz\u00e1 no sea necesario un SOAR y otras soluciones con algo de respuesta automatizada resulten suficientes. Hemos de tener en cuenta que un SOAR a\u00f1ade complejidad en muchos sentidos<\/strong> y cabe hacerse preguntas importantes como por ejemplo:<\/p>\n