01 · SOAR概念与Gartner定义
SOAR（Security Orchestration, Automation and Response，安全编排、自动化与响应）由Gartner提出：该术语2015年首次以"Security Operations, Analytics and Reporting"之名出现，2017年由Gartner重新定义为当前通行的含义——将安全事件响应（Incident Response）、安全编排与自动化（Orchestration & Automation）、威胁情报管理（Threat Intelligence Management）三类能力整合于单一平台。Gartner将其概括为三种核心软件能力：威胁与漏洞管理、安全事件响应、安全运营自动化。
需要说明的是，Gartner后续将SOAR能力并入"安全运营"整体技术版图（SIEM、SOAR与XDR能力持续融合评估），2020年后业界亦出现以开放API与低代码为核心的"可组合SOAR（Composable SOAR）"新形态——无论形态如何演进，"情报→动作"的执行层定位不变。在防御体系中，SIEM回答"发生了什么"，SOAR回答"接下来做什么、能否让机器代劳"。告警经SOAR平台触发预定义剧本（Playbook），自动完成富化、研判、处置与记录，分析师从重复劳动中释放出来，专注于真正需要人类判断的环节。NIST SP 800-61 Rev.3（2025年4月发布）同样强调将响应流程文档化、标准化并嵌入自动化能力。
本课题对SOAR的定位：SOAR不是独立产品类别崇拜，而是"情报→动作"链路的执行层——上承检测工程的告警，下接防火墙/DNS/EDR/IAM等执行器（Actuator），其设计质量直接决定MTTR的下限。
02 · 总体架构与四段式剧本
本课题采用"告警富化（Enrichment）→ 威胁判定（Determination）→ 处置执行（Action）→ 人工复核（Review）"四段式剧本结构，关键动作设置人工确认闸门。以钓鱼邮件响应为例的完整流程如下：
2.1 编排（Orchestration）与自动化（Automation）的边界
- 自动化执行任务级动作：查询信誉、提取附件、封禁IP、隔离终端、建工单——单一、规则明确、可重复。
- 编排决定动作的顺序与依赖：条件分支、并行分支、人工等待点、异常路径——它回答"何时、以何顺序、由谁批准"。
2.2 判定分支决策矩阵
| 富化结果组合 | 判定 | 剧本路径 |
|---|---|---|
| ≥2个独立高信誉源命中（如TIP+沙箱+URL扫描其中两者） | 恶意·高置信 | 直接进入处置段，全自动动作立即执行，人工闸门仅覆盖高危动作。 |
| 单一来源命中或来源间结论分歧 | 可疑·待研判 | 挂起自动化，进入人工研判队列（附带富化证据包），判定后人工选择放行路径。 |
| 全部来源阴性且发送行为正常 | 良性 | 关闭案件，抽样留存证据30天；举报用户获得"已核实"反馈（闭环体验，提升后续举报意愿）。 |
| 富化服务超时/失败 | 未知·降级 | 触发降级策略：仅执行只读动作，写操作一律人工执行（见第5节降级手册）。 |
03 · 处置动作风险分级矩阵
自动化速度必须以业务风险为约束。本课题按"动作可逆性与影响面"将处置动作分为三级，分别对应不同的自动化策略：
| 处置动作 | 执行器 | 风险级 | 自动化策略 | 说明 |
|---|---|---|---|---|
| 创建工单 / 告警通知 | ITSM（Jira/ServiceNow） | 低 | 全自动 | 只读与记录类动作，无业务影响，默认自动执行。 |
| 富化查询 / 日志检索 | TIP、SIEM、VirusTotal类接口 | 低 | 全自动 | 只读动作，可直接并行执行以压缩MTTR。 |
| DNS sinkhole / 封禁恶意域名 | DNS服务器、防火墙 | 低—中 | 全自动（带白名单校验） | 影响面限于恶意域名解析；须内置误封白名单与TTL。 |
| 防火墙封禁IP/端口 | NGFW、云安全组 | 中 | 半自动 | 需排除关键业务对端；策略数量设上限防"封禁表膨胀"；自动封禁必须携带过期时间。 |
| 邮件撤回 / 附件隔离 | 邮件网关、EDR | 中 | 半自动 | 依据命中用户范围决定；先抽样验证再全量。 |
| 内存/易失性证据采集 | EDR / IR工具 | 低 | 全自动（优先执行） | 遏制动作之前优先保全证据，兼顾取证完整性与业务连续性——响应剧本的默认第一步。 |
| EDR隔离主机 | EDR平台 | 中—高 | 人工闸门 | 可能影响生产业务；剧本先收集进程/网络证据再请求批准。 |
| 禁用用户账号 / 强制下线 | IAM、AD | 高 | 人工闸门 | 误伤代价高（如误禁高管账号）；须双人复核并设紧急恢复通道。 |
| 生产系统策略变更 | 防火墙、WAF、零信任策略 | 高 | 人工审批+变更窗口 | 执行前自动输出影响面评估；支持定时自动回滚。 |
设计原则：分级标准不是一次性产物——每次人工复核都应回评分级是否恰当，形成"自动化策略的持续校准"。任何全自动动作都必须具备：白名单保护、速率限制、熔断开关（Kill Switch）与完整审计日志。
04 · 典型响应剧本与剧本库目录
4.1 凭据泄露响应剧本
- 触发：暗网监测或外部通报发现本组织凭据在售；或SIEM检出账号异常登录（不可能的旅行/暴力破解成功）。
- 富化：核对泄露凭据有效性（与IAM只读接口比对）、登录来源IP信誉、受影响账号权限级别。
- 处置：风险账号强制重置密码+撤销全部会话令牌（全自动）；特权账号（人工闸门）；排查同源IP近期所有认证日志。
- 复核与回流：确认无横向移动迹象后关闭；泄露凭据样本存入TIP并标注来源与置信度。
4.2 恶意基础设施命中响应剧本
- 触发：NDR/DNS日志检出内网主机与情报库中C2域名通信。
- 富化：被动DNS历史、证书透明度、同IP邻居域名扩展查询；EDR拉取该主机进程树与连接时间线。
- 处置：DNS sinkhole阻断通信（全自动）；EDR隔离主机（人工闸门）；防火墙临时封禁（半自动，带过期时间）。
- 复核与回流：确认被控主机范围；新增C2指标回写情报库并触发第2页检测规则自动生成流程。
4.3 剧本库总目录（新增，首批十个模板）
| 剧本模板 | 触发器 | 关键动作链 | 高危闸门 |
|---|---|---|---|
| PB-01 钓鱼邮件响应 | 网关告警/用户举报 | 富化→撤回→封禁→主机核查→令牌吊销（AiTM分支）→回流 | 主机隔离、账号禁用 |
| PB-02 凭据泄露响应 | 暗网监测/SIEM异常登录 | 有效性比对→强制重置+吊销会话→同源IP排查 | 特权账号处置 |
| PB-03 C2通信命中 | NDR/DNS命中情报 | Sinkhole→进程树取证→隔离→邻居域名扩展 | 主机隔离 |
| PB-04 终端失陷（EDR告警） | EDR高危检测 | 证据优先采集→隔离→横向排查→恢复验证 | 隔离、策略变更 |
| PB-05 KEV漏洞暴露面处置 | KEV新增条目命中资产 | 影响定位→临时缓解（WAF规则/访问限制）→修复工单→复扫验证 | 生产策略变更 |
| PB-06 凭据填充攻击 | 认证网关异常 | 来源封禁（带TTL）→受影响账号强制重置→速率限制升级 | 封禁例外 |
| PB-07 勒索软件前兆 | 批量重命名/阴影副本删除特征 | 主机隔离（快速闸门）→备份完整性校验→恢复点验证 | 网络分段变更 |
| PB-08 内部账号异常 | UEBA基线偏离 | 会话取证→HR/主管带外确认→分级处置 | 账号禁用 |
| PB-09 供应商/供应链告警 | 第三方通报/情报 | 暴露面核查→SBOM定位→临时隔离集成→供应商确认 | 集成下线 |
| PB-10 数据外泄信号 | DLP/出口流量异常 | 出口临时管控→范围定界→合规评估→监管报告准备 | 出口封禁 |
十个模板覆盖MITRE ATT&CK主流战术场景；每个模板投产前须通过第7.5节检查清单，并在staging环境用历史告警重放（dry-run）验证。
05 · 人工闸门、影响面、回滚与降级熔断
- 人工闸门设计：闸门不是简单的"暂停等人"，应附带决策上下文——富化证据摘要、建议动作、影响面预估与一键执行/拒绝按钮，使人工决策可在分钟内完成。
- 影响面评估：策略类动作执行前自动输出：受影响资产/用户清单、与关键业务的依赖关系、历史变更失败率。
- 自动回滚：所有策略变更绑定回滚剧本与观察期（如30分钟）；观察期内业务指标异常（认证失败率、时延）即自动回退并告警。
- 审计与问责：剧本每个动作（含自动与人工）均记录执行者、依据情报、时间戳与结果，满足合规审计与事后复盘要求。
5.1 降级与熔断运行手册
| 触发条件 | 响应级别 | 动作 |
|---|---|---|
| 富化服务超时/失败率>10% | 降级运行 | 写操作类自动化暂停，仅保留只读富化与工单；值班分析师接管写动作。 |
| 执行器API错误率>20%（连续10分钟） | 熔断 | 该平台全部自动化熔断，告警通知值班长；恢复须人工确认。 |
| 同一对象10分钟内被重复执行写动作≥3次 | 冲突保护 | 自动锁定该对象并转人工——防止剧本环路或并发剧本互相踩踏。 |
| 业务方紧急申诉（误封/误隔离） | 一键回滚 | 平台级一键回滚按钮（预演过），5分钟内恢复并自动生成事故记录。 |
度量建议：除MTTR外，应跟踪"人工闸门平均等待时长""自动化动作事后回滚率""误自动化率"——它们是自动化是否过度或不足的先行指标（第4页度量体系收录）。
06 · 平台生态与选型
下表列出国内外常见SOAR/安全编排平台及其背景（均为公开可查信息），供选型参照：
| 平台 | 背景 | 特点 |
|---|---|---|
| Splunk SOAR | 原Phantom，2018年被Splunk收购 | 与Splunk生态深度集成，可视化剧本编辑器，应用库丰富。 |
| Palo Alto Cortex XSOAR | 原Demisto，2019年被Palo Alto Networks收购 | 强调"自动化+协同作战室"，与Cortex生态联动。 |
| Microsoft Sentinel Playbooks | 基于Azure Logic Apps | 云原生、与M365/Azure生态集成成本低；按执行计费。 |
| IBM QRadar SOAR | 原Resilient Systems，2016年被IBM收购 | 老牌IR流程平台，与QRadar SIEM配套。 |
| Tines | 爱尔兰安全自动化厂商（2018年成立） | 无代码/低代码"故事线"（Stories）驱动，强调API集成与人机协同审批界面。 |
| Swimlane | 美国SOAR厂商 | 低代码自动化与运营仪表盘，强调云原生部署。 |
| 国内厂商SOAR/SIRP产品 | 奇安信、绿盟科技、启明星辰等 | 国内主流安全厂商均已推出安全编排与响应类产品，多与自有SIEM/态势感知平台配套；选型时关注信创适配与本地化剧本生态（事实性梳理，不构成推荐）。 |
| Shuffle | 开源SOAR项目 | 可自托管，适合预算有限或需深度定制的团队。 |
| TheHive + Cortex | 开源案件管理与分析器框架 | 案件管理+分析器（Analyzers）+响应器（Responders），欧洲CSIRT社区广泛采用。 |
注：以上为事实性背景梳理，不构成产品推荐；各产品能力随版本快速演进，采购前请以官方最新文档为准。
07 · 剧本设计模式、反模式与工程治理
7.1 三个推荐设计模式
- 证据优先（Evidence-first）：对疑似失陷主机，先由EDR/IR工具自动采集内存与易失性证据快照，再执行隔离——避免"隔离成功、证据消失"，兼顾处置速度与取证完整性。
- 遏制优先（Containment-first）：阻断类动作（sinkhole、封禁、隔离）先于根除类动作（重装、清账），与NIST SP 800-61r3"遏制→根除→恢复"的阶段顺序一致。
- 分级升级（Escalation Matrix）：剧本内置升级树——人工闸门超时未响应自动升级至值班负责人，再升级至应急指挥官；涉监管上报的事件自动通知合规接口人。
7.2 四个典型反模式
- 无回滚自动化：任何写操作无对应回滚剧本即投产，是本课题明令禁止的反模式。
- 封禁表膨胀：无TTL的封禁策略无限累积，最终拖垮网络设备性能并掩盖真正高危条目——所有自动封禁必须携带过期时间。
- 剧本蔓延（Playbook Sprawl）：每新增一类告警就复制一份剧本，导致维护失控；应抽象为参数化模板加分支条件。
- 跳过硬测投产：剧本未在staging环境用历史告警重放（dry-run）验证即启用，是误自动化事故最常见的根源。
7.3 工程治理要求
- 剧本即代码：版本化、双人评审、变更留痕；高风险动作实行"四眼原则"（双人复核）。
- 熔断开关：每个剧本暴露一键停用接口，平台级设全局熔断，误触发时可在分钟级整体关停自动化。
- 度量闭环：除MTTR外持续跟踪剧本成功率、平均执行时长、人工闸门等待时长与回滚率（见第4页度量体系）。
- 组织协同：剧本变更纳入IT变更管理（ITIL）流程；涉及对外沟通（客户、监管、媒体）的动作一律人工执行。
7.4 与ITIL流程映射
| ITIL流程 | SOAR对接点 |
|---|---|
| 事件管理 | SOAR案件自动开单、分级、升级；关闭后状态回写ITSM。 |
| 问题管理 | 重复案件自动聚合为问题单；误报根因分析触发检测规则/剧本修订任务。 |
| 变更管理 | 策略类动作走变更审批通道；紧急变更通道与观察期回滚绑定。 |
| 知识管理 | 剧本处置经验沉淀为知识条目，反哺新分析师培训与第6页课程。 |
7.5 剧本投产前检查清单（共12项）
□ 触发条件明确且经样例告警回放验证
□ 四段式结构完整、异常路径有出口
□ 风险分级与第3节矩阵一致
□ 全部写动作具备回滚剧本
□ 封禁类动作携带TTL
□ 人工闸门附带决策上下文
□ 白名单与冲突保护生效
□ 熔断开关可一键触达
□ 审计字段完整（执行者/依据/时间/结果）
□ staging环境dry-run通过
□ 双人评审留痕
□ 度量埋点（环节耗时）已接入仪表盘。
08 · 自动化成熟度分级
组织不宜一步到位实现"全自动"。本课题定义五级成熟度，作为渐进路线图与考核基线：
| 级别 | 名称 | 特征 | 典型动作示例 |
|---|---|---|---|
| L0 | 纯人工 | 告警到人，全部手动处置，无统一案件记录 | 分析师手工查日志、手工封禁 |
| L1 | 辅助自动化 | 机器执行只读富化并生成处置建议，人执行全部写动作 | 自动富化报告+一键跳转执行器界面 |
| L2 | 半自动 | 低危写动作自动执行，高危动作人工闸门 | sinkhole自动、主机隔离需批准 |
| L3 | 条件全自动 | 高置信场景端到端自动，含自动回滚与熔断 | 钓鱼邮件高置信剧本全自动跑通 |
| L4 | 自适应自动化 | 自动化策略随度量反馈自我调整（闸门阈值、分级标准动态校准） | 第4页度量回流驱动的策略自动调优 |
本课题建议目标：第一年达L2（半自动为主），第二年重点剧本达L3，L4作为研究方向而非投产承诺。
SOAR治理与韧性
A. 剧本审计字段Schema
| 字段 | 说明 |
|---|---|
| playbook_id / version | 剧本标识与版本，变更必须留痕。 |
| case_id / alert_id | 关联案件与原始告警，支持事后重建。 |
| action_type / risk_level | 动作类别与风险级，必须与风险矩阵一致。 |
| intel_refs[] | 触发依据情报ID与置信度，支持归因。 |
| approver / approval_context | 人工闸门批准人、时间、决策依据摘要。 |
| rollback_plan_id / ttl | 回滚剧本标识与封禁/策略TTL。 |
| result / error / retries | 执行结果、错误码、重试次数，供度量与排障。 |
B. 自动化混沌演练
每半年在staging环境执行一次“执行器故障注入”：随机使某类富化接口超时、某执行器返回错误、某工单系统不可用，检验降级手册、熔断与人工接管是否真实生效。演练结果纳入第4页“自动化回滚率/误自动化率”的校准输入。
C. 紧急变更通道
对必须突破常规变更窗口的遏制动作（如KEV命中后的临时白名单），剧本必须同时生成：影响面评估、观察期、自动回滚、事后补审工单四个对象；缺一不得投产。
本节参考来源（第3页）
待复核 Gartner术语表：Security Orchestration, Automation and Response (SOAR)：gartner.com/en/information-technology/glossary/security-orchestration-automation-response-soar
NIST SP 800-61 Rev.3《Incident Response Recommendations and Considerations for Cybersecurity Risk Management》（2025年4月）：csrc.nist.gov/pubs/sp/800/61/r3/final
Splunk SOAR（原Phantom）：splunk.com/en_us/products/soar.html；Palo Alto Cortex XSOAR：paloaltonetworks.com/cortex/cortex-xsoar
Microsoft Sentinel Playbooks官方文档：learn.microsoft.com/en-us/azure/sentinel/automation；Shuffle：shuffler.io；TheHive Project：thehive-project.org
待复核 Mandiant《M-Trends 2026》（22秒交接等数据）：cloud.google.com/blog/topics/threat-intelligence/m-trends-2026/