به نام اون که به قلم قسم خورد و به انسان آموخت. سلام به همه رفقای عزیز دنیای امنیت! من محمد قنبری هستم و شما به اپیزود پنجم از پادکست الفبای SOAR گوش می‌کنید. جایی که قراره با هم، قدم به قدم، قفل‌های دنیای هماهنگی، خودکارسازی و پاسخ‌دهی امنیتی رو باز کنیم.

تا اینجای سفرمون، با مفاهیم اصلی SOAR آشنا شدیم. فهمیدیم هماهنگی یعنی چی، خودکارسازی چه کاری می‌کنه و پاسخ‌دهی قراره چطور باشه. مثل این می‌مونه که ما الان می‌دونیم یه ماشین خوب، موتور داره، چرخ داره و فرمون. ولی… برای اینکه یه راننده حرفه‌ای بشیم، باید کاپوت رو بزنیم بالا و ببینیم زیر این کاپوت دقیقاً چه خبره! کدوم قطعه با کدوم قطعه حرف می‌زنه؟ کدوم شلنگ به کجا وصله؟
دقیقاً توی این فصل قراره همین کار رو بکنیم. می‌خوایم SOAR رو کالبدشکافی کنیم و با اجزای حیاتی و کلیدیش آشنا بشیم. هم قطعات فنی مثل موتورهای هماهنگی، هوش تهدیدات (Threat Intelligence) و سیستم مدیریت پرونده؛ و هم نقشه‌های راه و فرآیندها، مثل پلی‌بوک‌ها (Playbooks) و جریان‌های کاری (Workflows).
نقشه راه امروزمون چیه؟
اول کاپوت رو می‌زنیم بالا و میریم سراغ معماری کلی. بعد، شاهرگ حیاتی SOAR یعنی هوش تهدیدات رو بررسی می‌کنیم. می‌بینیم SOAR چطور با بقیه ابزارهای امنیتی شما، از SIEM و فایروال گرفته تا آنتی‌ویروس روی سیستم‌تون، رفیق می‌شه. بعدش هم می‌ریم سراغ مغز متفکر عملیات، یعنی پلی‌بوک‌ها و در آخر، می‌بینیم چطور از همه این‌ها گزارش‌های به درد بخور بگیریم.
پس کمربندهاتون رو ببندید که قراره یه سفر هیجان‌انگیز به دل موتورخونه‌ی SOAR داشته باشیم.

مدیریت Case – برج مراقبت عملیات امنیت

خب، اولین و شاید بشه گفت ستون فقرات یه پلتفرم SOAR، چیزیه به اسم مدیریت Case یا همون مدیریت پرونده. بعضی‌ها بهش مدیریت حادثه هم می‌گن. این بخش، مثل یه برج مراقبت تو فرودگاه عمل می‌کنه. هر اتفاقی که میفته، از یه هشدار کوچیک تا یه بحران بزرگ، اول میاد اینجا ثبت می‌شه.

مدیریت Case یک رویکرد کاملاً منظم و شسته رفته است برای رسیدگی به حوادث، از لحظه شناسایی تا وقتی که پرونده کاملاً بسته می‌شه و حتی بعد از اون که می‌شینیم ببینیم چه درسی ازش گرفتیم.
فکر کنید یه مرکز تماس خیلی پیشرفته برای تیم امنیت دارید. این مرکز، تمام فعالیت‌های مربوط به یه حادثه رو هماهنگ می‌کنه. تلاش تیم‌ها و ابزارهای مختلف رو کنار هم می‌چینه و مطمئن می‌شه که هیچ توپی روی زمین نمی‌مونه. اما چطوری این کار رو می‌کنه؟ با چندتا قابلیت کلیدی:
• اول: ایجاد و دسته‌بندی پرونده.
به محض اینکه یه هشدار امنیتی شناسایی می‌شه، سیستم مدیریت Case یه پرونده جدید باز می‌کنه. تمام جزئیات اون هشدار رو دقیق ثبت می‌کنه. بعدش مثل یه کارآگاه حرفه‌ای، پرونده رو دسته‌بندی می‌کنه. مثلاً می‌گه: «خب، این پرونده از نوع حمله بدافزاره، شدتش خیلی بالاست و می‌تونه کل شبکه رو درگیر کنه.» این دسته‌بندی کمک می‌کنه بفهمیم اول باید سراغ کدوم آتیش بریم تا خاموشش کنیم.

• دوم: ارجاع و پیگیری پرونده.
حالا که پرونده باز شد، باید یکی مسئولش بشه دیگه! سیستم، پرونده رو به تیم یا تحلیلگر مربوطه ارجاع می‌ده. از همون لحظه، مثل یه GPS دقیق، وضعیت پرونده رو لحظه به لحظه رصد می‌کنه. مدیر تیم می‌تونه ببینه کدوم پرونده در چه مرحله‌ایه، کی روش کار می‌کنه و چقدر پیشرفت داشته. دیگه دورانِ «این هشدار رو کی دید؟» و «پرونده‌اش چی شد؟» تموم شده.
• سوم: مدیریت جریان کاری پرونده.
اینجا دیگه خودکارسازی وارد عمل می‌شه. مدیریت Case، اجرای پلی‌بوک‌های از پیش تعریف شده رو استارت می‌زنه. وظایف رو بین تیم‌ها و ابزارهای مختلف تقسیم و هماهنگ می‌کنه. در واقع، مجری سیاست‌ها و رویه‌های پاسخ به حادثه است.
• چهارم: مستندسازی و گزارش‌دهی.
«حافظه انسان فرّاره!» این سیستم تمام قدم‌ها، کلیک‌ها، تحلیل‌ها و نتایج رو مو به مو ثبت می‌کنه. در آخر هم گزارش‌های شیک و کاملی به ما می‌ده که مثل آینه نشون می‌ده کجای کاریم و کجاها رو باید بهتر کنیم.
• و پنجم: بررسی پس از حادثه (Post-Incident Review).
وقتی همه چی تموم شد، سیستم کمک می‌کنه دور هم بشینیم و از خودمون بپرسیم: «خب، چی شد؟ چطور باهاش برخورد کردیم؟ کجاها رو عالی بودیم و کجاها می‌تونستیم بهتر باشیم؟» این همون فرآیند «درس‌های آموخته شده» است که جلوی تکرار اشتباهات در آینده رو می‌گیره.
سوال برای فکر کردن: تا حالا تو سازمانتون پیش اومده یه هشدار امنیتی بین چند تا تیم پاسکاری بشه و آخرش هم معلوم نشه مسئولیتش با کی بوده؟ مدیریت Case دقیقاً برای حل همین مشکل به وجود اومده.
ارزش اصلی مدیریت Case اینه که به ما دید کامل و کنترل متمرکز می‌ده. همه چیز جلوی چشممونه و می‌تونیم سریع و آگاهانه تصمیم بگیریم.

گردش‌کار خودکار – خلبان خودکار عملیات امنیت

خب، رسیدیم به قلب تپنده و موتور محرک SOAR: گردش‌کار خودکار یا همون Automated Workflow.
آقا خودکارسازی یعنی چی؟ یعنی یه سری کارهای تکراری و پشت سر هم رو بسپریم به تکنولوژی تا برامون انجام بده. از کارهای ساده مثل ساختن اتوماتیک یه گزارش، تا فرآیندهای پیچیده که چندتا سیستم و تیم رو درگیر می‌کنه. این کار مثل داشتن یه خلبان خودکار برای عملیات امنیتی شماست!

بذارید یه مثال واقعی بزنیم. فرض کنید یه ایمیل فیشینگ شناسایی می‌شه. گردش‌کار خودکار می‌تونه این کارها رو در عرض چند ثانیه انجام بده:
1. اول، به صورت اتوماتیک اون ایمیل رو از صندوق پستی بقیه کارمندها هم پاک می‌کنه.
2. دوم، لینک و فایل ضمیمه داخل ایمیل رو توی یه محیط امن (Sandbox) باز می‌کنه تا تحلیلش کنه.
3. سوم، آدرس IP و دامنه‌ای که ایمیل ازش اومده رو درمیاره و توی فایروال و ابزارهای دیگه بلاک می‌کنه.
4. چهارم، یه تیکت در سیستم مدیریت Case باز می‌کنه و تمام این اطلاعات رو ضمیمه می‌کنه.
5. پنجم، یه گزارش اولیه آماده می‌کنه و برای تحلیلگر ارشد می‌فرسته.
این فرآیند اگه قرار بود دستی انجام بشه، چقدر طول می‌کشید؟ ۱۵ دقیقه؟ نیم ساعت؟ یک ربات این کار رو زیر یک دقیقه انجام می‌ده!
حالا مغز متفکر پشت این خلبان خودکار چیه؟ پلی‌بوک‌ها (Playbooks). پلی‌بوک‌ها مثل دفترچه راهنمای خلبان هستن. برنامه‌های از پیش نوشته‌شده‌ای که قدم به قدم میگن در مقابل هر نوع حادثه چه کاری باید انجام بشه. این پلی‌بوک‌ها خشک و غیرقابل تغییر نیستن! کاملاً می‌شه شخصی‌سازیشون کرد تا دقیقاً با نیازهای سازمان شما جور دربیان.
سوال برای فکر کردن: به سه تا کار تکراری که تیم امنیت شما هر روز انجام می‌ده فکر کنید. آیا نمی‌شه اون‌ها رو با یه پلی‌بوک ساده خودکار کرد تا وقت تیم برای کارهای خلاقانه‌تر آزاد بشه؟
مزایای این خودکارسازی چیه؟
• افزایش کارایی: زمان پاسخ از دقیقه به ثانیه می‌رسه. این یعنی جلوی خسارت رو خیلی سریع‌تر می‌گیریم.
• کاهش خطای انسانی: ربات‌ها خسته نمی‌شن، استرس نمی‌گیرن و مراحل رو جا نمیندازن. دقت کار به شدت بالا میره.
• مقیاس‌پذیری: فرض کنید به جای یک ایمیل فیشینگ، در یک لحظه ۱۰۰۰ تا ایمیل بیاد! نیروی انسانی کم میاره، اما ربات نه! به راحتی از پس حجم بالای هشدارها برمیاد.
• آزاد کردن مغزهای تیم: وقتی کارهای روتین خودکار می‌شه، تحلیلگرهای حرفه‌ای ما می‌تونن وقتشون رو بذارن روی کارهای خلاقانه و مهمی مثل شکار تهدید (Threat Hunting). یعنی به جای اینکه منتظر حمله باشن، خودشون میرن دنبال ردپای هکرها تو شبکه می‌گردن!

یکپارچه‌سازی Threat Intelligence – چشم و گوش سازمان

می‌رسیم به بخش سوم که به نظر من، مثل چشم و گوش سازمان در دنیای خطرناک سایبریه: یکپارچه‌سازی هوش تهدیدات یا Threat Intelligence.
آقا هوش تهدیدات یعنی چی؟ یعنی «دشمن‌شناسی». یعنی بدونیم کی داره به ما حمله می‌کنه، از چه ابزارها و روش‌هایی (TTPs) استفاده می‌کنه، و هدفش چیه. این اطلاعات، بنزین سوپر برای موتور SOAR شماست!

حالا این هوش تهدیدات چطور توی SOAR به ما کمک می‌کنه؟

1. در مرحله شناسایی (Detection):
فیدهای هوش تهدیدات، مثل یه لیست از مجرمین تحت تعقیب، به سیستم SOAR ما تزریق می‌شن. این اطلاعات به ابزارهایی مثل SIEM کمک می‌کنه تا تهدیداتی رو ببینن که قبلاً کور بودن نسبت بهشون. مثلاً یه IP مشکوک که دیروز تو یه حمله به یه شرکت دیگه استفاده شده، امروز اگه به شبکه ما وصل بشه، بلافاصله شناسایی می‌شه.
2. در مرحله بررسی (Investigation):
وقتی یه حادثه اتفاق افتاده، هوش تهدیدات به ما «زمینه» یا Context می‌ده. بهمون می‌گه این بدافزار دقیقاً چیه، توسط کدوم گروه هکری استفاده می‌شه، معمولاً چه خرابکاری‌ای می‌کنه و قبلاً چه شرکت‌هایی رو هدف قرار داده. این اطلاعات مثل اینه که قبل از ورود به یه دعوا، بدونی حریفت کیه و چند مَرده حلاجه!
3. و در مرحله پاسخ (Response):
این اطلاعات به ما دیکته می‌کنه که بهترین راه پاسخ چیه. مثلاً اگه بفهمیم با یه باج‌افزار طرفیم که فایل‌ها رو غیرقابل بازگشت می‌کنه، به جای تلاش برای رمزگشایی، پلی‌بوک ما مستقیماً می‌ره سراغ ایزوله کردن سیستم و بازیابی از بک‌آپ.
مزایای این یکپارچه‌سازی فوق‌العاده است:
• شناسایی دقیق‌تر: هم تهدیدهای معروف رو سریع‌تر می‌شناسیم و هم تهدیدهای جدید و نوظهور رو.
• اولویت‌بندی هوشمندانه: یه هشدار ساده از یه IP معمولی با یه هشدار از IPای که متعلق به یه گروه هکری دولتیه، زمین تا آسمون فرق داره. هوش تهدیدات به ما کمک می‌کنه اینا رو از هم تفکیک کنیم.
• پاسخ‌های هدفمند: به جای شلیک کور، دقیقاً می‌دونیم باید کجا رو هدف بگیریم.
• دفاع پیشگیرانه: با دونستن تاکتیک‌های روز دنیا، می‌تونیم قبل از اینکه حمله اتفاق بیفته، حفره‌های امنیتی‌مون رو ببندیم.

ابزارهای همکاری و ارتباط تیمی – قدرت کار گروهی

و بالاخره، می‌رسیم به قطعه‌ای از پازل که شاید کمتر فنی به نظر بیاد، اما مثل چسب، بقیه قطعات رو کنار هم نگه می‌داره: همکاری و ارتباط تیمی.
یه سیستم SOAR خفن، فقط یه سری ربات و کد نیست. SOAR قراره آدم‌ها رو هم بهتر به هم وصل کنه. همکاری در زمینه SOAR یعنی تیم‌های مختلف (مثل تیم شبکه، تیم امنیت، تیم نرم‌افزار) و حتی سیستم‌های مختلف، مثل یک ارکستر هماهنگ با هم کار کنن.

یک پلتفرم SOAR خوب، این همکاری رو با ابزارهای زیر ممکن می‌کنه:
• داشبوردهای مشترک: همه اعضای تیم یه تصویر یکسان و زنده از وضعیت امنیتی دارن. دیگه کسی نمی‌گه «من در جریان نبودم!».
• سیستم اختصاص وظیفه و پیگیری: کارها به افراد مشخصی محول می‌شه و همه می‌دونن کی مسئول چه کاریه. شفافیت کامل!
• یکپارچگی با ابزارهای ارتباطی: SOAR می‌تونه به ایمیل، اسلک، مایکروسافت تیمز و… وصل بشه تا تیم‌ها بتونن خیلی سریع و راحت با هم حرف بزنن، حتی اگه هر کدومشون یه گوشه دنیا باشن.
• مستندسازی خودکار: همونطور که گفتیم، همه چیز ثبت می‌شه. این یعنی هر کسی در هر زمانی می‌تونه به تاریخچه پرونده دسترسی داشته باشه و از تجربیات بقیه یاد بگیره.
چرا این همکاری اینقدر مهمه؟ چون باعث می‌شه تیم شما کارآمدتر، دقیق‌تر، سریع‌تر و همیشه در حال بهبود باشه. یه دست صدا نداره؛ وقتی همه با هم کار کنن، قدرت تیم چندین برابر می‌شه.

جمع‌بندی و نگاه به آینده

خب، امروز با هم کاپوت SOAR رو زدیم بالا و چهار قطعه حیاتی زیر اون رو بررسی کردیم:
• مدیریت Case که مثل برج مراقبت، همه چیز رو منظم و ساختاریافته نگه می‌داره.
• گردش‌کار خودکار و پلی‌بوک‌ها که مثل خلبان خودکار، سرعت و دقت رو به اوج می‌رسونن.
• یکپارچه‌سازی Threat Intelligence که مثل چشم و گوش سازمان، به ما دشمن‌شناسی یاد می‌ده.
• و ابزارهای همکاری که مثل چسب، تیم‌ها و فرآیندها رو به هم متصل می‌کنه.
این چهار جزء، در کنار هم یه ماشین امنیتی قدرتمند و هماهنگ می‌سازن که می‌تونه سازمان شما رو در برابر تهدیدات مدرن، ایمن نگه داره.

دمتون گرم که وقت گذاشتید و با دقت به این کالبدشکافی گوش دادید. امیدوارم حالا دید خیلی بهتری نسبت به معماری یک پلتفرم SOAR پیدا کرده باشید.
به عنوان یه تمرین ذهنی، ازتون می‌خوام به این فکر کنید که اگه قرار بود فقط یکی از این چهار جزء رو همین فردا در سازمانتون پیاده کنید، کدوم یکی بیشترین تأثیر رو داشت و چرا؟
فراموش نکنید که برای دسترسی به منابع بیشتر و متن کامل کتاب، می‌تونید به وب‌سایت soclib.ir (اس-او-سی-لیب-دات-آی‌آر) سر بزنید.
من محمد قنبری بودم و این پادکست الفبای SOAR. تا اپیزود بعدی، امن و هوشیار بمونید!