Wat is SOAR?
SOAR (Security Orchestration, Automation and Response) is een platform dat beveiligingstools aan elkaar koppelt, terugkerende onderzoeks- en responstaken automatiseert via playbooks en incidenten vastlegt in één casusbeheer, zodat een SOC meldingen sneller en consistenter afhandelt. Waar een SIEM vooral detecteert en correleert, zorgt SOAR voor de opvolging: verrijken, beslissen, ingrijpen en documenteren. Gartner introduceerde de afkorting in 2015 (toen nog voor Security Operations, Analytics and Reporting) en gaf haar in 2017 de huidige betekenis. In IT-omgevingen is SOAR inmiddels gangbaar; in OT vraagt automatische respons om extra terughoudendheid, omdat een verkeerde blokkade een productieproces kan stilleggen.
SOAR verbindt uw beveiligingstools, automatiseert repetitieve taken en versnelt de incidentrespons, maar de mens blijft verantwoordelijk voor ingrepen met procesimpact.
🧱 Uit welke onderdelen bestaat SOAR?
De drie letters uit de naam beschrijven samen met casusbeheer de vier bouwstenen van elk SOAR-platform:
| Component | Wat het doet | Voorbeeld |
|---|---|---|
| Orchestration | Koppelt tools via API’s en connectoren tot één werkstroom | SIEM, EDR, Firewall, CMDB, ticketsysteem en threat-intelfeeds |
| Automation | Voert stappen uit zonder handwerk, volgens vaste logica | Een hash opzoeken, een IOC verrijken, een endpoint isoleren |
| Response | Stuurt de afhandeling via playbooks met beslispunten en goedkeuringen | Phishing-playbook, ransomware-playbook, playbook voor verdachte inlog |
| Case management | Legt elk incident, elke actie en elk besluit vast als audittrail | Tijdlijn, bewijsstukken, rapportage voor CSIRT of toezichthouder |
Een playbook is de kern: een vastgelegde reeks stappen met condities, zoals “als de reputatiescore van dit IP-adres hoog is, blokkeer het dan op de perimeterfirewall en open een ticket”. Sinds november 2023 bestaat met de OASIS-specificatie CACAO Security Playbooks versie 2.0 een open formaat om zulke playbooks machineleesbaar te beschrijven en tussen organisaties en tools te delen.
🔧 Wat doet SOAR in de praktijk?
Een SOAR-platform neemt vooral het voorspelbare werk van tier 1-analisten over:
- Triage - een inkomende melding uit de SIEM, XDR of NDR automatisch classificeren en prioriteren
- Verrijking - IOC’s zoals hashes, domeinen en IP-adressen controleren tegen dreigingsfeeds en de CMDB
- Inperking - een verdacht endpoint isoleren via EDR, een account uitschakelen via IAM of een adres blokkeren op de Firewall of VPN-gateway
- Coördinatie - tickets aanmaken in het ITSM-systeem, de dienstdoende analist oproepen en belanghebbenden informeren
- Rapportage - een tijdlijn en incidentrapport opbouwen dat direct bruikbaar is voor de interne evaluatie en de meldplicht
Het effect zit vooral in de meetbare responstijd. SOC’s sturen op MTTD (mean time to detect) en MTTR (mean time to respond); SOAR verkort met name die tweede, omdat verrijking en eerste inperking binnen minuten gebeuren in plaats van na handmatig zoekwerk. Daarnaast maakt SOAR securityprocessen beter schaalbaar: het aantal meldingen kan groeien zonder dat het team evenredig meegroeit, wat helpt bij het tekort aan specialisten (zie ook Schaalbaarheid).
🧠 Hoe verloopt een geautomatiseerde ransomware-respons?
Een typisch ransomware-playbook in de kantooromgeving:
- Detectie - de SIEM of EDR ziet abnormale encryptieactiviteit op een werkplek
- Start playbook - SOAR opent automatisch een casus en verzamelt hostnaam, gebruiker en recente processen
- Inperking - de werkplek wordt via EDR van het netwerk geïsoleerd en het account tijdelijk geblokkeerd
- Blokkade - het IP-adres van de command-and-controlserver wordt op de firewall geblokkeerd
- Melding - het SOC krijgt een notificatie met een eerste forensisch overzicht voor forensisch onderzoek
- Escalatie - bij een significant incident wordt de casus doorgezet naar het Incident Response Plan, de crisisorganisatie en zo nodig het CSIRT
🔄 Wat is het verschil tussen SOAR, SIEM en XDR?
| Kenmerk | SIEM | SOAR | XDR |
|---|---|---|---|
| Hoofdtaak | Logs verzamelen, correleren en detecteren | Respons orkestreren en automatiseren | Detectie en respons over eigen sensoren heen |
| Input | Logs en events uit vele bronnen | Meldingen uit SIEM, XDR, e-mail en tickets | Telemetrie van endpoints, netwerk, e-mail en cloud |
| Output | Alarmen en dashboards | Uitgevoerde acties, casussen en rapporten | Gecorreleerde incidenten met ingebouwde respons |
| Leverancierbinding | Meestal open voor alle bronnen | Breed: honderden connectoren | Vaak gericht op het eigen ecosysteem |
De grenzen vervagen: Microsoft Sentinel is een SIEM met ingebouwde SOAR-functies (automatiseringsregels en playbooks op basis van Azure Logic Apps), en ook Google Security Operations en Splunk combineren SIEM en SOAR in één platform.
⚙️ Welke SOAR-platforms worden veel gebruikt?
| Platform | Achtergrond |
|---|---|
| Cortex XSOAR | Palo Alto Networks, voortgekomen uit de overname van Demisto in 2019 |
| Splunk SOAR | Voorheen Phantom, in 2018 overgenomen door Splunk; Splunk is sinds maart 2024 onderdeel van Cisco |
| IBM QRadar SOAR | IBM, voortgekomen uit Resilient |
| Google Security Operations | SOAR-functies uit Siemplify, overgenomen door Google in januari 2022 |
| Microsoft Sentinel | SIEM met automatiseringsregels en Logic Apps-playbooks |
| FortiSOAR | Fortinet, na de overname van CyberSponse eind 2019 |
| Swimlane | Zelfstandige leverancier van low-code beveiligingsautomatisering |
DFLabs, een vroege SOAR-leverancier, is in 2021 overgenomen door Sumo Logic. OT-monitoringplatforms als Nozomi, Claroty en Dragos leveren zelf geen volwaardige SOAR, maar sturen hun meldingen wel naar deze platforms.
🏭 Hoe zet u SOAR veilig in voor OT?
In ICS- en SCADA-omgevingen ligt het risico anders dan in IT: beschikbaarheid en veiligheid gaan voor vertrouwelijkheid. Een playbook dat automatisch het IP-adres van een HMI of engineeringstation blokkeert, kan operators blind maken voor het proces. Een verantwoorde aanpak:
- Begin met verrijken, niet met ingrijpen - laat SOAR in OT eerst alleen context verzamelen uit passieve monitoring, de assetinventaris en MITRE ATT&CK for ICS
- Leg ingrepen bij de grens - automatische blokkades horen in de IDMZ of DMZ en op de IT/OT-firewall, niet op niveau 1 of 2 van het Purdue Model; goede segmentatie maakt zo’n grens pas mogelijk
- Houd de mens in de lus - elke actie met procesimpact vraagt goedkeuring van de dienstdoende operator of OT-beheerder
- Raak veiligheidssystemen niet aan - een SIS en PLC-logica vallen buiten elke automatische respons
- Test en beheer playbooks als wijzigingen - via change management en oefeningen zoals een tabletop-oefening
- Stem rollen af - IT-security, OT-beheer en de CISO spreken vooraf af wie welke actie mag goedkeuren, vaak vastgelegd in een OT SOC-werkwijze
| Actie | Kantoor-IT | OT-netwerk |
|---|---|---|
| Endpoint isoleren | Automatisch | Alleen na goedkeuring operator |
| IP-adres blokkeren | Automatisch op perimeter | Alleen op IT/OT-grens, na goedkeuring |
| Account uitschakelen | Automatisch | Niet voor gedeelde operatoraccounts zonder overleg |
| Verrijking en ticket | Automatisch | Automatisch |
🔐 Welke rol speelt SOAR bij NIS2 en IEC 62443?
Geen enkele wet of norm verplicht SOAR, maar het platform helpt wel om aan de eisen te voldoen. De meldplicht van de Cyberbeveiligingswet, de Nederlandse uitwerking van NIS2, vraagt sinds 15 augustus 2026 een vroegtijdige waarschuwing binnen 24 uur, een incidentmelding binnen 72 uur en een eindrapport binnen een maand; het casusbeheer van SOAR levert de tijdlijn die daarvoor nodig is. In IEC 62443-3-3, het systeemdeel van IEC 62443, gaat basiseis FR 6 (tijdige reactie op gebeurtenissen) over toegankelijke auditlogs en continue monitoring. Ook ISO 27001 en het NIST CSF vragen aantoonbaar incidentbeheer, en NIST SP 800-61 revisie 3 uit april 2025 koppelt incidentrespons expliciet aan CSF 2.0. Voor compliance is de audittrail van SOAR daarmee vaak waardevoller dan de automatisering zelf.
❓ Veelgestelde vragen
Waar staat SOAR voor?
SOAR staat voor Security Orchestration, Automation and Response. Het is een categorie beveiligingssoftware die tools koppelt, responstaken automatiseert via playbooks en incidenten vastlegt in casusbeheer. Gartner introduceerde de afkorting in 2015 en gaf haar in 2017 deze betekenis.
Vervangt SOAR SOC-analisten?
SOAR vervangt geen SOC-analisten, maar neemt hun repetitieve werk over, zoals verrijking, triage en standaardinperking. Analisten houden daardoor tijd over voor onderzoek, threat hunting en beslissingen met grote impact. Zeker in OT blijft een mens verantwoordelijk voor ingrepen.
Heb ik een SIEM nodig om SOAR te gebruiken?
SOAR heeft meldingen nodig om op te reageren, en die komen meestal uit een SIEM, XDR of e-mailbeveiliging. Zonder betrouwbare detectie automatiseert SOAR vooral ruis. Veel organisaties starten daarom eerst met een goed afgestelde SIEM en voegen SOAR toe zodra de belangrijkste meldingen stabiel zijn.
Is SOAR geschikt voor OT-omgevingen?
SOAR is geschikt voor OT als het platform vooral verrijkt, registreert en coördineert, en automatische blokkades beperkt tot de grens tussen IT en OT. Ingrepen in het procesnetwerk vragen altijd goedkeuring van een operator. Veiligheidssystemen en PLC-logica horen nooit in een automatisch playbook.
Wat is een SOAR-playbook?
Een SOAR-playbook is een vastgelegde werkstroom met stappen, condities en goedkeuringen voor één type incident, zoals phishing of ransomware. Het platform voert de stappen uit en legt elk resultaat vast in de casus. Met de OASIS-standaard CACAO kunnen playbooks machineleesbaar worden beschreven en gedeeld.
Hoe helpt SOAR bij de meldplicht van de Cyberbeveiligingswet?
SOAR houdt per incident een volledige tijdlijn bij van detectie, acties en besluiten. Daarmee kan een organisatie de vroegtijdige waarschuwing binnen 24 uur en de incidentmelding binnen 72 uur sneller en onderbouwd opstellen. De beoordeling of een incident significant is, blijft een menselijk besluit.
📌 Samengevat
SOAR koppelt de tools van een SOC, automatiseert voorspelbare onderzoeks- en responsstappen en legt elk incident vast. In IT verkort dat de responstijd aanzienlijk; in OT ligt de nadruk op verrijken, registreren en coördineren, met de mens als beslisser bij elke ingreep in het proces.
SOAR automatiseert en orkestreert beveiligingstaken zodat incidenten sneller en consistenter worden afgehandeld; in een hybride IT/OT-omgeving werkt het pas goed met duidelijke grenzen aan automatische respons en een sluitende audittrail.