SOAR 内置于 Elastic Security 中。无需购买、集成或维护任何独立工具。

Elastic Workflows 是直接内置于 Elastic Security 的原生安全自动化功能。它无需独立的 SOAR 平台，只需在安全数据所在之处运行自动化，并可直接访问警报、案例和调查数据。无需单独集成。

不需要。Elastic Workflows 原生集成于 Elastic Security，包含独立 SOAR 所提供的自动化能力。警报分诊、上下文增强、案例管理和响应操作，都在安全数据所在之处运行。已在使用 Elastic Security 的团队无需额外工具即可开始构建 Workflows。

对于在 Elastic Security 内运行的安全运营场景，答案是肯定的。Workflows 可自动化完整生命周期：检测、分诊、上下文增强、升级和响应。依赖独立 SOAR 对非 Elastic 系统进行跨平台编排的团队，可以同时使用两者；涉及 Elastic 数据的自动化则可原生迁移至 Workflows。

是的。Elastic Workflows 旨在与现有 SOAR 投资共存。涉及 Elastic 数据的自动化可原生迁移至 Workflows。非 Elastic 系统的跨平台编排仍可保留在现有 SOAR 中。

独立 SOAR 平台需要单独购买，需要专门的工程资源来构建和维护集成，还需要在系统之间持续移动数据。当警报量上升，或调查偏离既定脚本时，这些集成就会失效。组织正在将自动化整合进 SIEM，以降低复杂性，并缩小检测与响应之间的差距。

自动化税是指在 SIEM 之外并行运行独立 SOAR 的隐藏成本：额外的供应商合同、脆弱的集成，以及自动化采取行动前必须先从 SIEM 中拉取的数据。每多一步，攻击者就多一分可利用的时间。Elastic Workflows 通过原生运行在 Elastic Security 内部，消除这些额外开销。

Workflows 覆盖完整生命周期：在任何警报触发前主动监控威胁情报并扫描 IOC；在警报触发时进行警报分诊和上下文增强；在确认威胁后进行案例管理、升级和响应操作，包括主机隔离。AI 智能体可以作为 Workflow 中的步骤被调用，负责收集上下文、基于发现进行推理，并在执行操作前将结论提交给分析师批准。可连接 Slack、Jira、VirusTotal、PagerDuty、AWS 以及任何 REST API。

已经使用 Elastic Security 的团队可以立即开始使用。无需连接外部系统，无需实施项目。工作流使用基于 YAML 的编写方式，类似于编写检测规则，预构建的安全模板可在 GitHub 上获取。大多数团队在第一天就能运行他们的第一个工作流。

Elastic Workflows 在 9.4 版本中正式发布。它在 Elastic Cloud Hosted 和自管型部署中可通过 Enterprise 许可提供，在 Elastic Cloud Serverless for Security 中通过 Complete 层级提供。定价基于执行次数，包含每月基准配额。查看完整定价详细信息。