通过战略性安全自动化释放投资价值
安全自动化长期争议——自动化什么、何时、如何。尽管偶有挫折，共识仍指向自动化是前进之路。今日现实确认自动化不再可选；它是必需。
虽许多组织已为关键安全和事件响应（IR）任务实施基础自动化，2020年事件成为催化剂，据ThreatQuotient的Noor Boulos称。最新SANS报告显示，全球大流行加速自动化采用，推动企业重新评估优先级和未来路线图。调查覆盖北美、欧洲、亚太、非洲各规模公司。
关键结论包括：
- 近三分之一组织报告COVID-19大流行加速其自动化计划。
- 超80%现至少部分自动化核心安全与IR流程——2020年仅47%。
- 事件响应自动化增幅最大，广泛自动化从2020年10.5%跃升至2021年28.3%，增18个百分点。
- 安全运营与警报处理仍是重中之重，35.5%实现广泛自动化。
- 展望未来，85%计划在未来12个月内扩展关键安全与IR流程自动化。
这些发现凸显在安全生命周期中把握自动化时机以最大化商业价值的重要性。ThreatQuotient强调数据是有效检测与响应自动化的基石。让我们审视报告中强调的两大主要用例：警报分流与事件响应。
警报分流：
安全分析师面临嘈杂SIEM规则和默认防御配置产生的海量警报。为管理量与速度，分析师常将外部威胁数据和情报源直接输入SIEM。然而两大挑战持存：
首先，海量外部威胁数据淹没SIEM，产生许多无上下文警报，需分析师密集研究。其次，现有工具缺乏稳健决策支持，在将威胁情报集成SIEM前提供上下文与相关性。优先级划分因此关键，以聚焦分析师于可行动警报。
借助ThreatQ平台，仅向SIEM输入相关威胁情报即可消除无用警报。平台在数据到达SIEM前自动应用上下文、相关性和优先级，提升效率与有效性。
针对您环境定制的威胁情报评分实现精准优先级。通过策划聚焦威胁数据子集，SIEM产生更少误报并更优雅扩展。
事件响应：
传统安全编排、自动化与响应（SOAR）方案聚焦流程自动化。然而应用于检测与响应时，剧本因决策逻辑硬编码且须在每个剧本更新而变得笨重。复随剧本增长而倍增，自动化嘈杂数据可能放大噪音。
ThreatQ TDR Orchestrator采用简化的数据驱动SOAR方法。数据本身触发剧本，自动化行动收集的洞见反馈分析以改进未来响应。通过将智能嵌入平台而非单个剧本，配置维护大幅简化，产出更高效有效的自动化结果。用户可预策划优先级数据、自动化相关行动、简化响应程序。
作者为ThreatQuotient的Noor Boulos
物联网技术