По приглашению коллег из ЭКСПО-ЛИНК принял участие в их проекте “Безопасная среда” и прочитал короткий доклад про особенности мониторинга информационной безопасности для АСУ ТП. https://zlonov.com/the-closer-you-look-the-less-you-see

вполне близко к реальности получилось..

Я посмотрел туда. Слелал фильтр на 2020 год и соответствующую тематику и не нашел ни одного другого ИБ проекта в этом году.
Если вы поделитесь другим участниками, я буду благодарен. Очень интересно какие инновации нас ждут в энергетике.

Коллеги, нужен ли SOAR в асутп? Какие есть мнения?

Есть подозрение, что нужен, но очень хотелось бы увидеть как это работает на практике.

Мне кажется отличная тема, почему должны появляться в части ИБ АСУ ТП решения новых классов, типо Mlad, который обсуждали как-то достаточно детально.
Настраивать ИБ, вести сложные корреляции и взаимоувязки всё сложнее и сложнее. Нужно что бы была возможность понимать и анализировать производственный процесс интерактивно.
Хотя сразу оговорюсь, что на сегодняшний день, внедрить тот же млад безусловно займет года пол на систему, что достаточно долго.

Чтобы был SOAR, нужны безопасники, которых нет.

А если отталкиваться от объема инцидентов?

Это уже другой вопрос.
Но от части согласен, что подобные решения должны применяться там где уже есть комплексная система ИБ ну и вообще культура ИБ выше среднего уровня

Ответ кроется в вопросе: нужно ли снижать нагрузку на ИБ и других специалистов по реагированию на инцидены? Если нужно то SOAR - хорошо

Нет. В АСУ ТП трафик "типизирован"

А еще зависит от того какие операции по ИБ готовы автоматизировать, учитывая осторожное обращение с компонентами АСУ ТП

Т.е. если есть безопасник + АСУ ТПшник, то настроят всё за неделю. А если их нет, то и толку не будет :)

Планы реагирования

Какими активными автоматизированными действиями они могут оканчиваться?

напоминает letmegoogle4u)) хотя поиск, действительно, не самый лучший.
Несколько примеров:
https://gridology.ru/projects/2811
https://gridology.ru/projects/2489
https://gridology.ru/projects/2330

по-моему если безопасников меньше, то это как раз еще один повод для внедрения SOAR? Другой вопрос, как правильно заметил @Anton_Shipulin - какие действия автоматизировать. И тут общего ответа нет. Для офисный сетей классика - запрет IP на МЭ или изоляция ПК. Надо в каждом случае отдельно смотреть, вряд ли общие рекомендации будут.

Блокирование изменения уставок, например

А если фолспозитив?

Заполнение карточки, план по недопущению повторения инцидентов, корректирующие мероприятия