SOAR (Security Orchestration, Automation and Response) automatisiert und orchestriert die Abläufe im Sicherheitsbetrieb: Playbooks bilden Reaktionsprozesse als wiederholbare Abläufe ab — vom Anreichern eines Alarms über Abfragen in Drittsystemen bis zu Reaktionen wie Kontosperrung oder Host-Isolation.
Der Auslöser ist fast immer Überlast: Zu viele Alarme treffen auf zu wenige Analysten. SOAR nimmt die repetitiven Schritte ab, damit Menschen dort entscheiden, wo Urteilsvermögen zählt.
Wie funktioniert SOAR in der Praxis?
Ein eingehender Alarm — etwa aus SIEM oder XDR — startet ein Playbook: Es reichert automatisch an (Wer ist der Nutzer? Ist die Datei bekannt bösartig? Gab es ähnliche Vorfälle?), trifft regelbasierte Vorentscheidungen und führt freigegebene Aktionen aus. Standardfälle laufen durch, Grenzfälle landen mit fertigem Kontext beim Analysten.
Der Wert steht und fällt mit den Playbooks: Sie kodieren das Wissen des Teams. Deshalb beginnt SOAR sinnvoll mit den häufigsten, klar entscheidbaren Fällen — Phishing-Meldungen, bekannten Malware-Mustern, Anreicherungs-Routinen — und wächst von dort.
Typische SOAR-Playbooks
- Phishing-Triage: gemeldete Mail analysieren, Indikatoren prüfen, gleichartige Mails unternehmensweit entfernen.
- Alarm-Anreicherung: Nutzer-, Asset- und Threat-Intelligence-Kontext automatisch beiziehen.
- Eindämmung: kompromittiertes Konto sperren, Sessions beenden, Host isolieren.
- Ticket- und Kommunikationsfluss: Vorfall dokumentieren, Beteiligte informieren.