SOARCA

CACAOセキュリティプレイブックで脅威およびインシデント対応ワークフローを自動化

背景とコンテキスト

組織は、プレイブック駆動のセキュリティワークフローオーケストレーションを通じて、脅威およびインシデント対応の自動化をますます進めています。この概念の本質は、特定のセキュリティイベントが、人間の介入なし、または限定的な介入のみで実行される一連の定義済み対応アクションをトリガーすることです。これらの自動化ワークフローは、機械可読なセキュリティプレイブックに記録され、通常はセキュリティオーケストレーション、自動化および対応（SOAR）ツールによって実行されます。SOARソリューションの市場はここ数年で大きく成熟し、現在の製品は高度な自動化ワークフローと、外部のセキュリティツールやデータリソースとの幅広い統合をサポートしています。しかしながら、一般的に使用される技術はプロプライエタリであり、研究や実験の目的に容易に適応できるものではありません。SOARCAは、ベンダー依存がなく、適用可能な標準化されたフォーマットや技術をサポートする、こうしたソリューションのオープンソース代替を提供することを目指しています。

SOARCAは研究と革新の目的で開発され、SOC、CERT、CTIの専門家がプレイブック駆動のセキュリティ自動化の概念を実験できるようにします。これはオープンで拡張可能であり、そのインターフェースは明確に定義され、詳細に文書化されています。重要なのは、OASIS Openによって開発・保守されている新興技術標準CACAOv2とOpenC2をネイティブサポートしていることです。CACAO（Collaborative Automated Course of Action Operations）は機械可読なセキュリティプレイブックの標準化スキーマを提供し、OpenC2はサイバー防御技術（例：ファイアウォールやIAMソリューション）のコマンド＆コントロールのための標準言語を提供します。

ソフトウェア

SOARCAは、CACAOv2セキュリティプレイブックを取り込み、検証、実行できるセキュリティオーケストレーターです。これらのプレイブックとその実行トリガーはJSON APIを介して消費されます。SOARCAには、外部ツールやデータリソースと連携するためのネイティブなhttp(s)、SSH、OpenC2機能が備わっています。これらのネイティブ機能は専用のMQTTインターフェースを介して拡張でき、開発者はニーズに応じて追加の統合をコンパイルできます。

開発は進行中です。現在のバージョンはマシンインターフェースとコマンドラインインターフェースのみをサポートしていますが、近い将来グラフィカルユーザーインターフェースが追加される予定です。さらに、現在のCACAOv2プレイブックを順次実行する機能は、複数のプレイブックを並行して実行できるように進化する予定です。こうした今後の開発は、Github上のSOARCAリポジトリで発表・公開されます。

ドキュメンテーション

最新のドキュメントについては、Github pages を参照してください。

ソースプロジェクト

プロジェクトのソースに関する詳細は、こちら をご覧ください。