SOAR（Security Orchestration, Automation and Response，安全编排自动化响应）
核心能力
| 模块 | 描述 |
|---|---|
| Orchestration | 跨工具调用（防火墙、EDR、SIEM、SaaS API） |
| Automation | Playbook 自动执行（如"高危告警 → 隔离主机 → 拉群通知"） |
| Response | 单一工作台处置事件 |
| Case Management | 工单生命周期管理 |
| Threat Intel 整合 | 自动 IOC 查询、富化 |
SOAR 的产业演化
SOAR 在 2020 年后逐步被XDR / XSIAM 吸收 — 大厂偏好把 SOAR 内嵌到平台，而不是独立采购：
- 2019 Palo Alto Networks $5.6 亿 收购 Demisto → Cortex XDR + Cortex XSOAR
- 2022 Google 收购 Siemplify → Chronicle SecOps
- Splunk Phantom（2018 收购）→ Cisco Splunk SOAR
关键玩家
- Palo Alto Networks — Cortex XSOAR / XSIAM
- Splunk Phantom — 现属 Cisco
- Google Chronicle — Siemplify 整合
- Microsoft Sentinel — 内置 SOAR
- 中国：奇安信（安全编排与运营平台）/ 启明星辰 / 安恒信息（恒脑驱动自动化）/ 绿盟科技
在 AI 时代
AI SOC / XSIAM 在 SOAR 基础上引入 LLM 自动写剧本、自动决策，进一步替代 SOC L1/L2 工作（据投行内部研究）。