SOAR

Bajo las siglas caben tres capacidades. La orquestación conecta las plataformas a través de sus interfaces, para que un analista no esté moviendo datos entre consolas a mano. La automatización ejecuta pasos definidos sin intervención humana: enriquecer una dirección contra inteligencia, buscar quién es el dueño del activo, descargar el fichero, consultar en el directorio si hay otros inicios de sesión desde el mismo origen. La respuesta ejecuta las propias acciones de contención, como deshabilitar una cuenta, aislar una máquina o bloquear a un remitente.

Esos pasos se escriben como playbooks, y un despliegue maduro suele separar las dos mitades: el enriquecimiento se ejecuta de forma automática sobre todo lo que entra, mientras que las acciones destructivas requieren que un analista las apruebe.

Automatizar un proceso roto lo rompe más deprisa. Si la clasificación inicial es adivinar, un playbook que actúe sobre el resultado de esa clasificación deshabilitará la cuenta equivocada con una constancia admirable. El requisito previo es un procedimiento que un analista competente ya ejecute igual todas las veces; automatizar una decisión que nadie ha escrito produce incidentes en vez de prevenirlos.

El segundo fallo es el mantenimiento. Los playbooks se rompen en silencio cuando una plataforma conectada cambia su interfaz, cuando se renombra un campo o cuando se revoca un permiso, y un playbook que falla calladamente es peor que ninguno, porque el equipo cree que el paso se dio. Los playbooks necesitan pruebas y responsables, exactamente igual que el software.

El tercero es apuntar a lo que no toca. Automatizar la respuesta a una clase de alerta que no debería existir es esfuerzo gastado en abaratar la tolerancia a un problema de ruido. El primer movimiento correcto suele ser arreglar la detección en el SIEM, y el segundo, automatizar el enriquecimiento que todos los analistas hacen a mano.

La respuesta automática se observa directamente desde el lado del atacante, y es uno de los pocos controles que podemos cronometrar con precisión. En un ejercicio registramos cuánto tardó en deshabilitarse una cuenta que habíamos comprometido o en aislarse una máquina, y si la acción fue completa: deshabilitar una cuenta sin revocar sus sesiones y sus tokens vivos nos deja seguir trabajando, y ese es un resultado frecuente. El hallazgo es la distancia entre la acción tomada y el acceso que de verdad retiró, que el SOC normalmente no ve desde su propia consola.