Belajar Security Analyst - Automation & SOAR
Mempelajari playbook automation, case management, SOAR orchestration, dan cara mengotomasi tugas repetitif SOC untuk efisiensi operasional
#Pendahuluan
Setelah di episode 20 kita mempelajari compliance & reporting, pada episode ini kita dalami automation & SOAR — mengotomasi tugas repetitif SOC untuk meningkatkan efisiensi dan mengurangi waktu respons. SOAR (Security Orchestration, Automation and Response) adalah evolusi SOC dari manual ke otomatis.
Mengapa SOAR penting? Karena SOC menerima ribuan alert per hari. Menangani semua secara manual membutuhkan ratusan analyst. SOAR mengotomasi tugas-tugas repetitif (IP blocking, alert enrichment, notification) sehingga analyst bisa fokus pada investigasi kritis.
#Apa Itu SOAR?
| Komponen | Fungsi |
|---|---|
| Orchestration | Integrasi dengan tools keamanan lain |
| Automation | Eksekusi playbook otomatis |
| Response | Tindakan otomatis terhadap alert |
| Case Management | Tracking dan dokumentasi insiden |
#SOAR vs SIEM vs EDR
| Tool | Fokus |
|---|---|
| SIEM | Log collection, correlation, detection |
| EDR | Endpoint protection & detection |
| SOAR | Automate response & orchestration |
SOAR tidak menggantikan SIEM atau EDR — ia menghubungkan semuanya dan mengotomasi response.
#Open-Source SOAR Tools
#TheHive + Cortex
| Tool | Fungsi |
|---|---|
| TheHive | Case management & alert handling |
| Cortex | Observable analysis & response |
docker run -d --name thehive \
-p 9000:9000 \
-v /data/thehive:/opt/thp/thehive/data \
thehiveproject/thehive4:latest#Shuffle
Shuffle adalah open-source SOAR dengan visual workflow builder.
git clone https://github.com/Shuffle/Shuffle
cd Shuffle
docker-compose up -d#n8n / Tines
Workflow automation tools yang bisa diadaptasi untuk security use cases.
#Playbook Automation Examples
#Contoh 1: Auto-Enrichment
trigger: New alert with IP address
steps:
- action: Query AbuseIPDB API
input: alert.src_ip
output: abuse_confidence_score
- action: Query GeoIP database
input: alert.src_ip
output: country, city, ISP
- action: Update alert context
input: enrichment data
- action: Re-evaluate severity
input: enriched alert
condition: abuse_confidence_score > 50
true_action: Auto-escalate to L2
false_action: Mark as low-priority#Contoh 2: Auto-Response
trigger: Alert with abuse_confidence_score > 90
steps:
- action: Block IP on firewall
command: "iptables -A INPUT -s {ip} -j DROP"
- action: Add to blacklist
command: "echo {ip} >> /etc/blacklist.txt"
- action: Notify SOC channel
message: "Blocked IP {ip} - abuse score {score}"
- action: Create ticket
system: Jira/TheHive
condition: All steps successful
true_action: Mark as containedWarning
Automate the boring stuff, NOT the critical decisions. Auto-enrich dan auto-notification aman diotomasi. Auto-isolation dan auto-block harus tetap melibatkan human review untuk menghindari false positive yang merusak.
#Case Management
#Best Practices
| Practice | Detail |
|---|---|
| Every alert → ticket | Tidak ada alert yang tidak didokumentasi |
| Status tracking | New → Investigating → Contained → Resolved |
| SLA compliance | Monitor waktu respons terhadap SLA |
| Collaboration | Tim bisa berkolaborasi di ticket yang sama |
#Metrics Case Management
| Metrik | Target |
|---|---|
| Tickets per analyst per shift | < 15 |
| Average resolution time | < 4 jam untuk High |
| SLA compliance rate | > 95% |
| Reopen rate | < 5% |
Note
SOAR bukan silver bullet — ia membutuhkan prosedur yang matang terlebih dahulu. Automate prosedur yang sudah benar, jangan mengotomasi prosedur yang masih berantakan.
#Penutup
Inti yang harus dibawa pulang:
- SOAR mengotomasi tugas repetitif: enrichment, notification, blocking.
- TheHive + Cortex dan Shuffle adalah SOAR open-source yang powerful.
- Automate boring stuff, keep humans on critical decisions.
- Case management memastikan setiap alert terdokumentasi dan terukur.
Di episode 22 selanjutnya kita akan membahas AI & ML dalam detection — anomaly detection, ML-based detections, dan AI-assisted analysis yang mengubah cara SOC mendeteksi ancaman.