cossas/soarcaSOARCA - ¡El Orquestador de Seguridad de Código Abierto basado en CACAO!
Automatizar los flujos de trabajo de respuesta a amenazas e incidentes con playbooks de seguridad CACAO
Las organizaciones automatizan cada vez más la respuesta a amenazas e incidentes mediante la orquestación de flujos de trabajo de seguridad impulsados por playbooks. La esencia de este concepto es que eventos de seguridad específicos desencadenan una serie predefinida de acciones de respuesta que se ejecutan sin intervención humana o con una intervención limitada. Estos flujos de trabajo automatizados se capturan en playbooks de seguridad legibles por máquina, que típicamente son ejecutados por una herramienta de Orquestación, Automatización y Respuesta de Seguridad (SOAR, por sus siglas en inglés). El mercado de soluciones SOAR ha madurado significativamente en los últimos años y los productos actuales admiten flujos de trabajo de automatización sofisticados y una amplia gama de integraciones con herramientas de seguridad externas y recursos de datos. Sin embargo, típicamente la tecnología empleada es propietaria y no fácilmente adaptable para fines de investigación y experimentación. SOARCA tiene como objetivo ofrecer una alternativa de código abierto para tales soluciones, libre de dependencias de proveedores y que admita formatos y tecnologías estandarizados cuando sea aplicable.
SOARCA fue desarrollado con fines de investigación e innovación y permite a los profesionales de SOC, CERT y CTI experimentar con el concepto de automatización de seguridad impulsada por playbooks. Es abierto y extensible, y sus interfaces están bien definidas y documentadas de manera exhaustiva. Es importante destacar que ofrece soporte nativo para los estándares tecnológicos emergentes CACAOv2 y OpenC2, ambos desarrollados y mantenidos por OASIS Open. CACAO (Operaciones Colaborativas Automatizadas de Curso de Acción) proporciona un esquema estandarizado para playbooks de seguridad legibles por máquina, mientras que OpenC2 ofrece un lenguaje estandarizado para el comando y control de tecnologías de ciberdefensa (por ejemplo, firewalls o soluciones de IAM).
SOARCA es un orquestador de seguridad que puede ingerir, validar y ejecutar playbooks de seguridad CACAOv2. Estos playbooks y los desencadenantes para su ejecución se consumen a través de una API JSON. SOARCA viene con capacidades nativas HTTP(s), SSH y OpenC2 para interactuar con herramientas externas y recursos de datos. Estas capacidades nativas pueden extenderse a través de una interfaz MQTT dedicada, lo que permite a los desarrolladores compilar integraciones adicionales según sus necesidades.
El desarrollo continúa. La versión actual solo admite interfaces de máquina y línea de comandos, pero se agregará una interfaz gráfica de usuario en un futuro previsible. Además, su capacidad actual para ejecutar playbooks CACAOv2 de forma secuencial evolucionará hacia la capacidad de ejecutar múltiples playbooks en paralelo. Estos desarrollos futuros se anunciarán y publicarán en el repositorio de SOARCA en Github.
Para la documentación más reciente, consulte nuestras Github pages.
Puede encontrar más información sobre el origen del proyecto aquí.
