Définition
Un SOAR est une plateforme qui automatise la réponse aux alertes de sécurité en enchaînant des actions prédéfinies, appelées playbooks : enrichir une alerte avec des informations externes, isoler un poste, bloquer une adresse, ouvrir un ticket, prévenir l'équipe. Il décharge les analystes des tâches répétitives pour qu'ils se concentrent sur les cas qui demandent du jugement. Il se branche sur le SIEM, l'EDR et les outils de ticketing.
Dans la pratique
Le SOAR n'est utile qu'à un SOC déjà mature, avec des procédures stables à automatiser ; déployé trop tôt, il automatise le désordre. Les profils recherchés savent écrire des playbooks en Python et connaissent les API des outils de sécurité, compétence de plus en plus demandée.
Termes liés
Définition rédigée par L'équipe Top Profil. Glossaire mis à jour le . Tous les termes du glossaire.