SOARはElastic Securityに組み込まれています。スタンドアロンのツールを購入、統合、保守する必要はありません。

Elastic Workflowsは、Elastic Securityに直接組み込まれたネイティブのセキュリティ自動化機能です。アラート、ケース、調査データに直接アクセスし、セキュリティデータがすでに存在する場所で自動化を実行するため、スタンドアロンのSOARプラットフォームが不要になります。別途統合する必要はありません。

いいえ。Elastic Workflowsは、スタンドアロンSOARが提供する自動化機能をElastic Securityにネイティブに統合します。アラートのトリアージ、エンリッチメント、ケース管理、対応アクションはすべて、セキュリティデータが存在する場所で実行されます。Elastic Securityをすでに利用しているチームは、追加のツールなしでワークフローの構築を開始できます。

Elastic Security内で実行されるセキュリティ運用に関しては、代替となります。Workflowsは、検出、トリアージ、エンリッチメント、エスカレーション、対応といったライフサイクル全体を自動化します。Elastic以外のシステム間でクロスプラットフォームのオーケストレーションを行うために別のSOARを使用しているチームも両方を実行できます。Elasticデータにアクセスする自動化は、Workflowsにネイティブに統合されます。

はい。Elastic Workflowsは既存のSOAR投資と共存するように設計されています。Elasticデータにアクセスする自動化はWorkflowsにネイティブに移行されます。Elastic以外のシステム間でのクロスプラットフォームオーケストレーションは、既存のSOARに残しておくことができます。

スタンドアロン型のSOARプラットフォームは、別途購入が必要であり、統合の構築と維持には専任のエンジニアが必要で、システム間での継続的なデータ移動も必要となります。アラート量が増加したり、調査が想定外の事態に発展したりすると、これらの統合は機能しなくなります。組織は、複雑さを軽減し、検出と対応の間のギャップを埋めるために、自動化をSIEMに統合しつつあります。

自動化に伴う負担とは、SIEMと並行してSOARを別途運用する際に発生する隠れた負担のことです。具体的には、追加のベンダー契約、脆弱な統合、自動化処理を実行する前にSIEMからデータを抽出する必要が生じることなどが挙げられます。これらの各ステップの手間は、攻撃者への対応にすでに費やしている時間に加えてのしかかってきます。Elastic Workflowsは、Elastic Security内でネイティブに動作することで、こうした負担を排除します。

Workflowsはライフサイクル全体を処理します。アラート発生前のプロアクティブな脅威インテリジェンスの監視とIOCスイープ、アラート発生時のトリアージとエンリッチメント、そして脅威の確認後には、ホスト隔離を含むケース管理、エスカレーション、対応アクションを実行します。AIエージェントはワークフロー内のステップとして呼び出すことができ、コンテキストを収集し、検出結果に基づいて推論し、アクションが実行される前に、アナリストに承認のための結論を提示します。Slack、Jira、VirusTotal、PagerDuty、AWS、任意のREST APIに接続できます。

Elastic Securityをすでに利用しているチームは、すぐに使い始めることができます。外部システムとの接続や実装プロジェクトは不要です。Workflowsは、検出ルールを作成するのと同様にYAMLベースのオーサリング方式を採用しており、GitHubには事前に構築されたセキュリティテンプレートが用意されています。ほとんどのチームは、初日から最初のWorkflowを実行できます。

Elastic Workflowsはバージョン9.4で一般提供されています。Elastic Cloud Hostedおよびセルフマネージド導入ではエンタープライズライセンスで、Elastic Cloud Serverless for SecurityではCompleteティアで利用可能です。価格は実行ベースで、月間ベースライン割り当てが含まれています。詳細な価格情報はこちらをご覧ください。