赵粤征，叶建伟，贠 珊，郭兰杰

(绿盟科技集团股份有限公司，北京100089)

0 引言

安全运营核心能力在于将人、数据、以技术为基础的工具和流程有机集合，共同构成安全运营的基本要素，以数据为基础，以安全分析为手段，发现有效威胁；以响应为闭环措施达到对安全风险的抑制或者降低，从而实现从被动安全到主动安全的转变。 而SOAR 作为近年来推出的安全编排自动化响应解决方案[1-2]，充分融合了数据、人的安全技能、工具、流程，从而达到快速高效实现安全运营的目的。 随着 SOAR 解决方案的逐步推进和落地，安全运营自动化已经初见雏形，并在安全运营方面发挥着越来越重要的作用。

在安全运营自动化中，最重要的还是人的因素，没有足够的安全运营人才来运营，就无法发挥安全工具的完整价值。

2017 年，Gartner 提出了 SOAR(安全编排与自动化响应)的定义，其是安全运营实现自动化的最重要的解决方案。 大多数安全厂家都已经采用可视化编排的技术手段，通过各类安全分析工具箱、研判取证工具箱、响应工具箱的定义，利用人机可视化交互模式，基于威胁场景定义其分析及响应处置的业务流，从而达到将人的安全分析、研判取证、响应的业务能力基于场景固化，进而利用系统的自动化场景触发机制，实现安全威胁场景的自动化分析响应处置过程[3-4]。 其总体实现架构模型如图 1 所示。

在SOAR 的执行引擎中，当通过可视化流程编排定义了面向某一威胁场景的流程处置模型后，其对应的流程模型下发到SOAR 执行引擎中，并形成面向这一威胁场景的流程处置规则，通常把它称为案例规则[5]。……