安全编排自动化响应（SOAR）技术参考架构

安全编排自动化响应(SOAR)技术参考架构本文件提出了安全编排自动化响应(SOAR)的技术参考架构。本文件适用于指导安全编排自动化响应(S0AR)的使用方、运营方、研发方和第三方测评机构等对安全编排自动化响应进行设计、开发、测试、运维等。2规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款，其中，仅该日期对应的版本适用于本文件：不注日期的引用文件，其最新版本(包括所有的修改单)适用于本文件。GB/T25069信息安全技术术语GB/T25069界定的以及下列术语和定义适用于本文件。信息安全事态informationsecurityevent表明可能的信息安全违规或某些控制失效的发生。与可能危害组织资产或损害其运行相关的、单个或多个被识别的信息安全事态。针对单个或一系列安全事件进行的响应活动。安全事件响应活动结束后，安全事件应极到处理和解决。将工作流程中涉及的不同系统或一个系统内部的不同安全能力通过可编程接口(API)封装后形成的安全能力接口、人工处理节点、逻辑判断等各类型流程节点按照一定的逻辑组合到一起，完成某个特定安全事件响应操作的过程的沉淀。安全剧本将人、数据、流程、工具有效的结合在一起，实现自动化或半自动化的处置工作流。安全剧本是安全编排的形式化表述。对安全资源所具备的安全功能的统称3-—数据处理单元：可对接入的数据进行分析、处理，可将非结构化数据解析成SOAR内部可流转的结构化数据：-—响应策略控制单元：可集中管理响应策略配置参数，可针对不同数据实现响应策略规则制定、策略解析、策略执行 编排策略控制单元：可通过安全编排设计器对安全事件响应流程中所需的安全能力接口、人工处理接口等资源进行管理，并实现编排策略的制定，可通过工作流引擎实现编排策略的解析、执行； 全能力集成单元：可制定安全能力集成方式与接口对接方式，可对安全资源池进行资源集成开发后的安全应用程序以及安全能力接口进行集中管理。5.3.1数据处理单元数据处理单元可接入第三方安全管理平台或安全设备的消息数据，包括各类安全基础资源或服务等产生的告警数据、文件、邮件、工单等，应支持API接入等多种数据接入方式。数据处理单元可对接入的数据进行解析、标准化、过滤等规范化数据处理。5.3.2响应策略控制单元响应策略控制单元可集中管理响应策略配置参数。可自定义响应策略，可通过配置响应触发条件实现安全事件的分类分级响应。该单元支持响应策略制定、响应策略解析、响应策略执行，具体要求如下a)响应策略制定：实现策略规则的制定与存储，包括策略触发条件、策略触发方式、策略执行内容；b)响应策略解析：实现策略规则的解析，以及与编排策略控制单元中工作流引擎的结合c)响应策略执行：针对策略触发条件，实现特定工作流的执行。5.3.3编排策略控制单元编排策略控制单元可通过安全编排设计器对安全事件响应流程中所需的安全能力接口、人工处理接口等资源进行编排，实现编排策略的制定。编排策略控制单元可承接响应策略控制单元的执行请求，实现策略驱动的自动化流程闭环，并存储编排策略清单。5.3.3.1安全编排设计器安全编排设计器可具备面向业务的、图形化的集成开发环境，为安全运维管理者提供UI,以用户友好的操作方式，提供无需编程就能够建立完善的事件响应流程的工具。安全编排设计器可对人工处理接口、安全能力接口等安全事件响应流程中所需的能力进行编排，可将安全事件响应过程抽象化为安全剧本，以表征编排策略和自动化响应的处理过程，从而反映出安全编排和自动化响应过程中的各个流程节点的执行顺序。5.3.3.2安全剧本实例管理安全编排设计器的产物为安全剧本实例，安全剧本是通过制定编排规则和设置流向活动组织在一起完成某项安全事件响应流程的模板。安全剧本通过解析后可在工作流引擎中运行安全剧本实例管理单元可对安全剧本进行统一管理，包括剧本的增、删、改、查等基础操作5.3.3.3工作流引擎工作流引擎是编排策略控制单元的核心组件，具备以下重要组成部分：a)用于解析安全剧本的解析器：可解析待执行安全剧本，需保证剧本执行实例是SOAR可以理解的、能够自动处置的；b)用于执行安全剧本执行器：可调用安全剧本中的安全能力接口、人工处理接口等资源：c)用于监控安全剧本执行情况的监控器：通过工作流引擎解析待执行的剧本，对剧本执行机制进行智能管控，保证流程的持续、正确进行5.3.4安全能力集成单元4构图见图2。安全能力集成单元可管理S0AR的联动外部的资源池，SOAR编排元素与业务联动的强大与否很大租度上取决于安全能力的规模。安全能力集成单元实现安全能力接口化、标准化，实现接口灵活调用，其架构图见图2。图2安全能力集成单元架构图5.3.4.1资源集成开发资源集成开发提供对接安全设备服务、资源集成服务的能力。通过资源集成可实现同类型资源批量联动，减少重复联动开发成本；实现安全资源服务化、安全能力接口化：具备通过南向接口调度安全资源的能力；具备通过安全能力接口对外部提供安全能力服务的能力；具备开放可扩展的应用集成框架通过可视化界面提供资源集成开发向导；支持根据业务应用场景快速集成安全能力。5.3.4.2安全应用程序安全应用程序具备将各种安全资源服务化，抽象化成安全应用程序的能力：支持对安全应用程序服务进行统一管理安全应用程序支持挂载多个安全资源实例，并对安全资源实例及其调度权限进行统一管理以及可用性监控；安全应用程序支持管理相应的安全能力接口；安全应用程序可灵活安装、更新5.3.4.3安全能力接口安全能力接口可对安全资源所具备的安全能力进行封装形成安全能力接口：安全编排可调用安全能力接口；可通过安全能力接口调用安全资源实例；安全能力接口可标准化，即对不同安全资源具备的同种安全能力进行抽象封装；外部可调用安全能力接口。安全编排自动化响应工作流程见图3_6(资料性)安全编排自动化响应(S0AR)的使用场景安全编排自动化响应技术可应用于多种场景，常见的使用场量有周期性病毒扫描、封禁恶意IP、钓鱼邮件处置、挖矿告警处置等。其他威胁处置、资产管理、风险排查等都可以使用安全编排自动化响应技术。通过恰当使用安全编排自动化响应技术，并通过与不同场景下需使用的安全设备进行紧密配合使得不同场景下的安全事件响应、分析与处置效率大幅度提升，从而大幅度减少安全运营成本，更好地服务安全运营。基于安全编排自动化响应可以实现周期性自动化病毒扫描任务。通过S0AR剧本可实现获取资产列表联动扫描器进行病毒扫描，自动获取扫描结果等一系列动作。通过任务策略的配置实现周期性病毒扫描的任务，可大大减少运营人员的重复性操作。基于安全编排自动化响应可以实现恶意IP自动处置。面对日益增多的告警数量，分析师往往不能快速对恶意IP进行处置。在接入告警数据后，可通过触发S0AR剧本对恶意IP进行分析研判，例如对于内网恶意IP进行主机成胁调查，通过外网恶意IP进行封禁。基于安全编排自动化响应可以实现威胁自动化处置。通过对接不同来源的告警数据，并针对不同类型的告警数据配置不同的响应处置剧本。例如针对钓鱼邮件威胁，目前，钓鱼邮件的研判和处置存在工作量大、容易疏漏、流程不规范等困难。当SOAR识别到钓鱼邮件威胁后，会自动触发相应剧本，实现确认钓鱼邮件类型，对于恐意URL类型，自动联动DNS中断域名解析，并联动防火墙阻断域名解析IP;对于恶意附件类型，及时联系收件人进行确认，能够极大简化钓鱼邮件威胁处置工作。7(资料性)安全编排自动化响应(S0AR)的实施举例B.1通用实施流程安全编排自动化响应通用实施流程如下2)梳理需自动化的事件处置流程：3)梳理步骤2)中流程需联动的安全设备；4)开发步骤3)中各类型安全设备对应的安全应用程序、安全能力接口：6)针对步骤2)的梳理结果，编写流程剧本：7)接入需处置的数据：8)配置响应策略，针对步骤7)接入的数据，绑定步骤6)编写的剧本，并指定剧本触发方式；其中，步骤2)-9)根据不同场景可省略个别步骤。B.2病毒扫描场景实施流程针对附录A中的病毒扫描场景，安全编排自动化响应系统的实施流程如下2)梳理病毒扫描流程，包括获取资产信息、下发扫描任务、获取扫描状态、判断是否扫描完成、获取扫描结果；3)梳理步骤2)中流程需联动的安全设备，包括终编安全管理系统4)梳理开发安全应用程序，包括终端安全管理系统安全应用程序；并同步开发终端安全管理系统安全应用程序包含的安全能力接口，包括获取资产信息，下发病毒扫描任务、获取病毒扫措任务状态、获取病毒扫描任务结果等等；5)接入具体终端安全管理系统设备；6)针对步骤2)中的梳理结果，编写流程剧本：8)配置响应策略，针对步骤7)接入的数据，绑定步骤6)编写的剧本，指定触发剧本的方式为数据触发；至此，实施完成8(资料性)安全编排自动化响应(S0AR)的部署示例安全编排自动化响应部署示意图见图C.1。安全编排自动化响应部署示意图见图C.1。安全编排自动化响应8图0.1安全编排自动化响应(S0AR)部署示意图要保证于联动的目标