10、安全自动化：SOC分析师如何利用SOAR与Shuffle平台

安全自动化：SOC分析师如何利用SOAR与Shuffle平台

1. SOC分析师如何使用SOAR平台

安全运营中心（SOC）分析师负责监控、检测、分析和缓解组织内的安全事件。他们借助安全编排、自动化与响应（SOAR）平台来提升安全运营的效率和效果。使用SOAR平台，SOC分析师可以简化工作、缩短响应时间，并确保安全事件得到更协调一致的处理。在事件响应过程的多个阶段，都可以利用SOAR平台，具体流程如下：

graph LR
    A[Alert generation] --> B[Alert triage and prioritization]
    B --> C[Investigation and context gathering]
    C --> D[Containment, eradication and recovery]

• 警报生成 ：安全信息和事件管理（SIEM）系统、入侵检测系统/入侵防御系统（IDS/IPS）以及端点安全解决方案会持续监控网络和系统活动，以发现潜在威胁。当发生符合Wazuh规则的事件时，Wazuh会触发警报，具体包括：
  • 日志分析警报 ：Wazuh平台监控端点、网络和应用程序日志，以发现任何可疑活动。如果与规则匹配，将触发警报，例如检测到短时间内多次登录失败的尝试。
  • 入侵检测系统（IDS）警报 ：当与基于网络的Suricata IDS集成时，Wazuh可以分析