cossas/soarcaОткрытый оркестратор безопасности, выполняющий плейбуки CACAOv2 для автоматизированного реагирования на угрозы и инциденты, с нативной поддержкой HTTP, SSH и OpenC2.
Автоматизируйте рабочие процессы реагирования на угрозы и инциденты с помощью плейбуков безопасности CACAO
Организации всё чаще автоматизируют реагирование на угрозы и инциденты через оркестрацию рабочих процессов безопасности на основе плейбуков. Суть этой концепции заключается в том, что определённые события безопасности запускают предопределённую последовательность действий по реагированию, которые выполняются без или с минимальным участием человека. Эти автоматизированные рабочие процессы фиксируются в машиночитаемых плейбуках безопасности, которые обычно выполняются с помощью так называемого инструмента оркестрации, автоматизации и реагирования на безопасность (Security Orchestration, Automation and Response – SOAR). Рынок решений SOAR за последние годы значительно созрел, и современные продукты поддерживают сложные рабочие процессы автоматизации и широкий спектр интеграций с внешними инструментами безопасности и источниками данных. Однако, как правило, используемые технологии являются проприетарными и нелегко адаптируются для исследовательских и экспериментальных целей. SOARCA стремится предложить альтернативу с открытым исходным кодом для таких решений, свободную от зависимости от вендоров и поддерживающую стандартизированные форматы и технологии там, где это применимо.
SOARCA разработан для исследовательских и инновационных целей и позволяет специалистам SOC, CERT и CTI экспериментировать с концепцией автоматизации безопасности на основе плейбуков. Он открыт и расширяем, его интерфейсы хорошо определены и подробно документированы. Важно, что он обеспечивает нативную поддержку развивающихся технологических стандартов CACAOv2 и OpenC2, разработанных и поддерживаемых OASIS Open. CACAO (Collaborative Automated Course of Action Operations) предоставляет стандартизированную схему для машиночитаемых плейбуков безопасности, в то время как OpenC2 предлагает стандартизированный язык для командования и управления средствами киберзащиты (например, брандмауэрами или решениями IAM).
SOARCA — это оркестратор безопасности, который может принимать, проверять и выполнять плейбуки безопасности CACAOv2. Эти плейбуки и триггеры для их выполнения потребляются через JSON API. SOARCA имеет встроенные возможности http(s), SSH и OpenC2 для взаимодействия с внешними инструментами и источниками данных. Эти встроенные возможности могут быть расширены через выделенный интерфейс MQTT, что позволяет разработчикам подключать дополнительные интеграции по своему усмотрению.
Разработка продолжается. Текущая версия поддерживает только машинный и командный интерфейсы, но в обозримом будущем будет добавлен графический пользовательский интерфейс. Кроме того, текущая возможность последовательного выполнения плейбуков CACAOv2 будет развиваться в сторону возможности параллельного запуска нескольких плейбуков. Такие дальнейшие разработки будут анонсированы и опубликованы в репозитории SOARCA на Github.
За актуальной документацией обращайтесь к нашим страницам Github.
Дополнительную информацию об исходном проекте можно найти здесь.
