昨天早上自AM9:00，DDOS攻擊洪流開始湧進，半小時之間接了六條訊息...
DDoS 攻擊是「分散式阻斷服務攻擊」 (Distributed Denial of Service) 的簡稱，是一種網路攻擊方式。這種攻擊方式是透過用大量的流量讓網站無法正常運作。
第一條Line進來 : " 我們的網路頻寬塞滿，查出是您們的滲透攻擊進來"
接著第二條Line進來 : " 顧問還没到，問一下何時到 ? "
然後第三個由電話進來: " 總務部說您們還没申請退回履保金，何時送件申請? "
第四個由MAIL進來: " 這個案子還没開發票，8月會開嗎? "
第五個由Line進來: " 價格申請拆扣的表格請回應.."
第六個由電話進來: " 客戶的標案內容.... "

一、日常中的不平常

• 業務的日常逃不了以上的狀況，這些概括統稱為"日常"，但昨天我盯緊的是上午的夢幻武器開測，以及下午公司的Solution發佈。這二場活動我都感受到 "自動化" 的威力。
• 這也讓我想要有一位 "數位助理 "，他可以幫我整合各種通訊系統進來的訊息，透過文字或聲音辨別事件的緊急重要程度，每天早上8點可自動提供報告，建議今天的執行順序，並且針對逾時未完成的事項發出通知。

二、自動化檢測工具

• 在我8/21的文章中提及了這款武器- 自動化檢測工具；昨天上午至客戶端執行"黑箱"測試，不到一小時風險9等級的漏洞已被找出，我們聽到重要的憑證，開始準備擴權，準備開測Exchange及AD，這些攻擊都必需經過客戶的同意才能執行，因為我們都是在正式環境玩真的。
• 客戶開始一陣忙亂，MDR狂叫，SIEM及網路監控應該也都要有警報出來，資安長出來決定在300多台設備中選擇攻擊的目標。資安長開始檢查每個事件被攻擊的手法，以及使用的漏洞。
  - 睿智的資安長說 : 在我們的環境中，會被利用的漏洞才是必要修補的漏洞;如果一個漏洞在公司內是無法被利用的，或者風險不高，則不需耗費資源來處理。
• 自動化檢測工具的驗證 : 自動檢測出內部的漏洞(不需劇本) > 施以攻擊 > 查驗出可以被擊破的方法及利用的漏洞 > 提供修補的優先順序建議。

三、有SIEM，為什麼還需要 SOAR ?
昨天下午是公司的Solution day ; 其中有一主題是介紹SOAR ; 現階段SIEM與SOAR的分工仍讓許多人不甚理解。講者透過現今自動化的狀況以及挑戰來說明SIEM與SOAR的協作。

• SIEM : 安全資訊和事件管理，這是指收集和存儲安全數據的技術，SIEM 可以收集的數據包括防火牆，入侵檢測系統，網路設備等 ; 檢查數據中是否有可能表明存在攻擊的模式，並針對任何異常活動將設備之間的事件資訊相關聯。
• SIEM的痛 : 即使是最熟練的分析師，在分析 SIEM 生成的警報過程需要不同的幫助和介面，例如漏洞管理或威脅情報，以將問題周圍的點連接起來 ; 在當今容易受到威脅的組織中，通常沒有足夠的安全分析人員來應對SIEM 警報量不斷增長的情況。這些警報中有很大一部分是誤報，最終導致寶貴的時間和精力浪費在手動的人工流程和任務上，而真正的威脅卻很容易被忽視而無法即時因應。
  
• 自動化的挑戰 :。
  1.不斷演變的威脅和工具
  2.不同的可見性和各自的數傎
  3.自動化編碼需要技術
  4.整合的支援
  5.大量的事件告警和追踪
  6.持續的合規變化，持續的流程變化
• Gartner說SOAR : 安全編排，自動化和回應 ; 是當今用於安全操作和事件回應的一種方法，可以用來提高安全操作的效率，效力和一致性。
• SOAR 如何工作 :
  1.SOAR使安全團隊能夠自動收集所需的上下文，以進一步調查整個生態系統中生成的警報。
  2.通過使用SOAR平臺，可以讓警報自動回應，將所有需要的工具和技術無縫地編排在一起，以建立可重複，可實施，可測量且有效的事件回應流程和工作流程。
  3.然後，通過觸發各種操作手冊和運行手冊(Playbook)，來執行最適當的回應步驟和操作，以適應不同的威脅。
  4.最終，這可以確保對所有警報做出回應，同時騰出寶貴的分析時間，使分析人員能夠處理更高優先順序或更複雜的任務，而在大多數情況下都能讓SOAR自動執行決策及程序。