SIEM significa Security Information and Event Management. Raccoglie log, avvisi e telemetria da molte fonti e li correla per aiutare i difensori a individuare attività sospette. SOAR significa Security Orchestration, Automation, and Response. Utilizza playbook per automatizzare passaggi ripetitivi come arricchimento, ticketing, contenimento e notifica.
Insieme, le piattaforme SIEM/SOAR aiutano i team di sicurezza a trasformare gli avvisi grezzi in azioni coordinate. In ambienti reali, una sandbox, uno strumento EDR, un firewall o un gateway di posta elettronica possono inviare un verdetto o un indicatore al SIEM, dove viene correlato con altri eventi. SOAR può quindi attivare flussi di lavoro di risposta, come isolare un host, bloccare un dominio o aprire un caso di incidente. Questo è importante perché gli attacchi spesso generano troppi segnali per una gestione manuale, e l'automazione riduce i tempi di risposta mantenendo l'attenzione degli analisti sugli eventi a rischio più elevato.