随着网络安全攻防对抗的日趋激烈，网络安全单纯进行防范和阻止的策略已经失效，必须更加注重检测与响应。企业和组织要在网络已经遭受攻击的假定前提下构建集阻止、检测、响应和预防于一体的全新安全防护体系。
在这样的背景下，放眼国内，更多的注意力集中到了新型检测产品，尤其是未知威胁检测领域。借助这些产品和技术，用户获得了更低的 mttd（平均检测时间），能够更快更准确地检测出攻击和入侵。但是，这些产品和技术大都没有帮助用户降低 mttr（平均响应时间）。事实上，对于用户而言，更快地检测出问题仅仅是第一步，如何快速地对问题进行响应更加重要，而这，正是 soar 要解决的问题。
q: soar的“庐山真面目”是什么？
a: soar意为安全编排自动化与响应，是security orchestration automation and response的缩写，从2015年gartner首次提出soar概念，再到2017年gartner对其进行全新的概念升级，目前认知的soar可汇聚多源安全数据，通过剧本编排的手段自动化执行多种安全响应流程，从而大大降低安全事件mttr（平均响应时间)。
q: soar的应用现状如何？
q: soar还需在哪些方面改进？
a: 安恒信息ailpha出品的next soar不仅具备soar的三大核心技术能力：安全编排与自动化、安全事件响应平台、威胁情报平台，还前瞻性联动安全运营中最重要的元素“人员”。这使得，next soar让日常安全运营变得更加方便、快捷。next soar工具中的“war room”功能实现高效、灵活的人员管理，多地、多中心人员协同作战。团队成员通过war room功能实现在线沟通，协作下发安全响应指令，无需来回切换界面即可实现安全事件全周期响应，解决人员之间因为沟通不畅导致的响应不及时等问题。
除此之外，安恒信息next soar还以安全能力中台（dbappsecurity capability api，简称dasca）为底座。面对众多繁杂的安全设备，dasca将企业能力统一抽象成标准化能力，以多种安全能力为基础构建安全能力中台，帮助企业构建系统化安全能力。dasca也可为next soar的自动化提供动力源，标准化程度越高，自动化执行能力就越强，有了安全能力中台的支持，next soar可以走的更远。
q: soar在红蓝对抗中能做什么？
以防火墙封禁为例，客户需要进行快速的攻击研判阻断，现场dmz区部署了防火墙；客户希望能够针对外部的扫描探测类攻击，一分钟超过10次就自动进行防火墙封堵，并邮件通知客户负责人，对于自动化执行的任务可以分析查看，便于活动结束后的复盘总结。
上述动作通过剧本方式可以在秒级内完成，完全不依赖人工操作，提高响应速度，实现 7x24 小时应急响应。
安恒信息next soar通过智能灵活编排，把人、过程和技术整合起来，大幅提升安全运营工作效率，将分析人员从耗时且繁冗的分析工作中解放出来。next soar支持拖拽式交互设计、安全风险分析研判策略配置和联动响应剧本、多种策略编排动作，流程化完成事件管理，提高协作沟通效率。将响应时间从小时甚至天降到秒级别。
目前，众多行业已逐渐将目光转向安全运营，如何大幅提升安全运营效率已经成为当前时代重要的课题。安全运营新时代已到来，安恒信息next soar聚力soar大生态，全力护航网络安全运营。
