SOARForge собирает контекст инцидента, предлагает проверенные действия и ведёт аналитика до контролируемого реагирования — без потери контроля над критичными шагами.
Start — инцидент создан
Проследим одно фишинговое письмо: как алерт становится кейсом, получает контекст и приоритет, как аналитик расследует и реагирует и что остаётся для отчёта и аудита.
Схемы построены по экранам из руководств, данные вымышленные.
Итог: Алерт стал кейсом нужного типа
Письмо с подозрительной ссылкой начинает путь кейса #2041.
Итог: У индикаторов — вердикт и оценка
У домена, ссылки, IP и хеша из письма появляется контекст.
Для MSSP: поиск наблюдений индикатора по тенантам федерации.
Руководство: индикаторы и обогащениеИтог: Дубли свёрнуты, кейс у нужной группы
Повторный алерт связан с #2041; кейс назначен дежурной группе.
Итог: Контекст, доказательства и история — в кейсе
Аналитик разбирает письмо и сохраняет ход расследования #2041.
Итог: Рутину делает плейбук, решение — за человеком
Для #2041 подготовлена блокировка отправителя. Шаг ждёт решения.
Итог: Итог, сроки и след каждого действия
Отправитель заблокирован. В #2041 остаются итог и история действий.
На ручном шаге плейбук ждёт человека, права задаются ролями, а содержимое записей ленты War Room нельзя переписать или удалить. Комментарии модерируются отдельно.
Роли и права| Действие | Право | Где видно |
|---|---|---|
| Запустить плейбук | Ход расследования — в ленте War Room. Содержимое её записей нельзя изменить или удалить. | |
| Одобрить или отклонить шаг | Плейбук ждёт решения. Нет ответа в срок на «Вопрос» или «Ожидать согласования» — отказ. | |
| Закрыть или переоткрыть кейс | Закрытый кейс — только для чтения: история доступна до и после переоткрытия. | |
| Изменить права роли | Права — в подписанном токене сессии. Изменения применяются при его обновлении. |
Журнал аудита — кто, что, когда, с какого IP; выгрузка CSV и JSON.
AI — по вашему решению: провайдер подключается как коннектор. Глобальный AI-ассистент выключен по умолчанию, только читает и видит лишь данные, доступные пользователю.Подключение AI Provider описано в руководстве и требует установленного, настроенного и активного коннектора.
SOARForge работает в контуре заказчика: у каждой инсталляции своя база и хранилище. Главный узел MSSP собирает сводный обзор и не владеет кейсами тенантов.
Ниже — связи именно с SOARForge. Коннекторы к своим системам и AI-провайдера заказчик настраивает отдельно.Для AI нужен установленный, настроенный и активный коннектор AI Provider, описанный в руководстве.
| Связь | Как устроена |
|---|---|
| Лицензия | Подписана Ed25519, привязана к идентификатору кластера и проверяется внутри инсталляции без обращения к SOARForge или другим внешним сервисам. |
| Обновления | Раз в день проверяется подписанная лента релизов. Проверку можно выключить — запросы к ленте прекратятся. Для изолированного контура манифест загружается вручную с проверкой подписи; сама проверка не обновляет кластер. |
| Контент | Паки поступают из подписанного реестра soarforge.ru; в изолированном контуре пак импортируется файлом ZIP или JSON. |
Контент-паки из реестра Маркетплейса — интеграции, плейбуки, типы инцидентов и классификаторы, которые обновляются и откатываются целиком. Для изолированного контура пак импортируется файлом, а свой коннектор пишется на Python с манифестом.
900+ паков в реестре Маркетплейса
Шесть руководств на русском, поиск по всем разделам. Экраны пока описаны словами, без скриншотов.
Путь от алерта до закрытого кейса, импорт плейбуков YAML с предварительным просмотром или федерация для MSSP — покажем на вашей задаче.
Разбираем ваш сценарий от алерта до закрытого кейса.
SOARForge в вашем контуре по лицензии, привязанной к инсталляции.
Лицензии и заявки на лицензии — в личном кабинете по приглашению. Сведения об обновлениях — из подписанной ленты или загруженного вручную манифеста; в изолированном контуре паки импортируются файлом.
Новые площадки и заказчики — отдельные инсталляции под федеративным обзором.