一、什么是SOAR
SOAR（Security Orchestration, Automation and Response）是基于剧本（Playbook）把告警研判、调查取证、响应处置动作编排为自动化流程的安全平台，由 Gartner 在 2015-2017 年间正式定义并推动行业采纳。其所属类别为安全运营中心（SOC）能力提升与事件响应自动化层，核心能力是把分散在 EDR、SIEM、威胁情报、ITSM 等系统中的处置动作以剧本形式串联，把告警的平均处置时间（MTTR）压缩到原来的 X% 量级。
二、原理
1. 多源告警汇聚形成案例 → 2. 自动分诊与优先级排序 → 3. Playbook 编排处置流程 → 4. 跨系统 API 执行响应动作 → 5. 度量指标与剧本持续优化
三、信息卡片
| 中文名 | SOAR 安全编排自动化响应 |
| 英文名 | Security Orchestration, Automation and Response |
| 缩写 | SOAR |
| 别名 | 安全编排自动化响应、安全编排自动化与响应、SOAR 平台 |
| 提出者 | Gartner |
| 提出时间 | 2015-2017 年（Gartner 正式定义） |
| 所属类别 | 网络与安全 > 安全运营 > SOC 自动化 |
| 核心技术 | Playbook 剧本、集成连接器、案例管理、ITSM 工单自动化 |
| 主要应用 | SOC 告警研判自动化、事件响应编排、威胁处置、ITSM 联动 |
四、历史时间线
- 2015-2017 年：Gartner 在安全运营趋势中正式定义 SOAR 类别
- 2017-2020 年：Splunk Phantom、Demisto 等代表性产品成熟
- 2020-2022 年：SOAR 与 XDR、SOC 平台深度融合
- 2023 年：低代码 Playbook 编辑器与社区剧本市场兴起
- 2024-2025 年：与生成式 AI 协作形成 AI 辅助剧本生成等新形态
五、分类
- 按形态：独立 SOAR 平台 vs SIEM 内嵌 SOAR vs XDR 内嵌 SOAR
- 按部署：本地 SOAR vs SaaS SOAR vs 混合部署
- 按剧本编辑：低代码可视化 vs Python/DSL 代码
- 按集成：原生集成 vs 通用 API/SDK 集成 vs 社区集成
- 按场景：通用 SOAR vs 行业 SOAR（金融/运营商等）
六、应用场景
- 告警自动研判：对钓鱼邮件、可疑登录等告警自动 enrich 与分类
- 端点隔离自动化：EDR 告警触发后自动隔离受感染主机
- 威胁情报联动：把 TIP 中的 IOC 自动下发到防火墙、邮件网关
- ITSM 工单联动：把安全事件自动转为 Jira/ServiceNow 工单
- 合规与审计：自动采集证据生成合规报告
- AI 辅助剧本：结合大模型自动生成与优化处置剧本
七、优缺点
- 优点：
- 显著压缩告警的平均处置与响应时间
- 把分析师从重复性任务中解放出来
- 标准化处置流程显著降低人为差错
- 提升 SOC 整体运营效率与合规水平
- 支撑安全团队提供 7×24 小时运营能力
- 缺点：
- Playbook 设计需要安全与开发双重能力
- 对接系统多时集成维护成本较高
- 过度自动化可能放大误操作风险
八、常见误区
- SOAR = SIEM（错：SIEM 负责检测与日志聚合，SOAR 负责处置与编排，二者协同）
- SOAR = 自动替代分析师（错：SOAR 替代的是机械重复动作，复杂判断仍需分析师）
- 部署 SOAR 就能降本（错：需要结合成熟剧本与高质量告警才能体现价值）
九、关联概念
- 父概念：SOC、SOC · 安全运营中心
- 子概念：Agent Orchestration · 智能体编排、智能流程自动化 IPA、超级自动化、超级自动化平台
- 兄弟概念：SIEM、SIEM · 安全信息与事件管理、XDR 扩展检测与响应、EDR 终端检测与响应
- 对比概念：SOAR vs SIEM、SOAR vs XDR 扩展检测与响应、SOAR vs 智能流程自动化 IPA
- 应用相关：威胁情报平台 TIP、ATT&CK 框架、Agent Orchestration · 智能体编排、智能决策
