SIEM versus SOAR: wat is het verschil en heb je beide nodig?

Beveiligingsteams krijgen te maken met meer waarschuwingen, meer tools en meer gegevens dan ooit tevoren. Het probleem is niet een gebrek aan inzicht. Het is de kloof tussen het besef dat er iets mis is en het vermogen om daar snel genoeg iets aan te doen om echt verschil te maken.

Zowel SIEM als SOAR pakken die uitdaging aan, maar vanuit verschillende invalshoeken. SIEM laat zien wat er gebeurt. SOAR bepaalt wat ermee moet gebeuren. Inzicht in waar het ene ophoudt en het andere begint, is essentieel voor het opzetten van een beveiligingsoperatie die mee kan groeien, of je nu een intern SOC runt, de beveiliging voor klanten beheert als MSP, of met een overbelast IT-team werkt.

De SIEM-tool van Kaseya verwerkt dagelijks zo’n 500 miljoen beveiligingsgebeurtenissen voor MSP’s en IT-teams wereldwijd, en beschikt over ingebouwde automatische reactiefuncties. Hierdoor krijgen we direct inzicht in waar de kloof tussen detectie en reactie zich in de praktijk voordoet.

Wat is het verschil tussen SIEM en SOAR?

SIEM en SOAR zijn beide onmisbaar voor moderne beveiligingsactiviteiten, maar ze dienen fundamenteel verschillende doelen. Het ene is een platform voor detectie en inzicht. Het andere is een engine voor respons en automatisering. Voordat we ingaan op de verschillen, is het handig om te begrijpen wat elk van beide precies doet.

Beveiligingsinformatie- en gebeurtenissenbeheer (SIEM)

SIEM vormt de aggregatie- en correlatie-laag van een beveiligingsoperatie. Het haalt log- en gebeurtenisgegevens op uit uw gehele IT-omgeving, waaronder eindpunten, servers, firewalls, cloudplatforms, identiteitssystemen en SaaS-toepassingen, zet deze om in een uniform formaat en past correlatieregels toe om verdachte patronen als geprioriteerde waarschuwingen aan het licht te brengen.

In wezen geeft SIEM antwoord op twee vragen: wat is er gebeurd en wanneer? Het vormt de basis voor detectie waarop alle andere onderdelen van een beveiligingsstack steunen. Daarnaast zorgt het voor naleving van regelgeving door de loggegevens te bewaren die vereist zijn door regelgevingskaders zoals HIPAA, PCI-DSS, AVG SOC 2, en door de bijbehorende, voor audits geschikte rapporten te genereren.

Als SIEM nieuw voor je is of als je een uitgebreid overzicht wilt van hoe het werkt en waar je op moet letten bij het kiezen van een oplossing, dan biedt onze gids over wat SIEM precies is een compleet beeld.

Beveiligingscoördinatie, automatisering en respons (SOAR)

SOAR gaat verder waar SIEM ophoudt. De term werd in 2015 door Gartner geïntroduceerd om platforms te beschrijven die de responskant van beveiligingsactiviteiten automatiseren en coördineren. Waar SIEM zich richt op detectie en inzicht, richt SOAR zich op actie.

Een SOAR-platform maakt verbinding met uw bestaande beveiligingstools, waaronder SIEM, endpointbeveiliging, firewalls, identiteitssystemen en ticketplatforms, en maakt gebruik van die koppeling om vooraf gedefinieerde responsworkflows, zogenaamde playbooks, uit te voeren. Wanneer er een SIEM-alert wordt geactiveerd, kan het SOAR-platform de alert automatisch verrijken met context uit feeds met dreigingsinformatie, controleren of het getroffen systeem cruciaal is, een apparaat in quarantaine plaatsen, een IP-adres blokkeren, inloggegevens resetten, een ticket openen en de betreffende analist op de hoogte stellen – en dat allemaal voordat een medewerker naar het scherm heeft gekeken.

De drie pijlers van SOAR sluiten naadloos aan bij de naam:

• Orchestration verwijst naar de integratielaag, die verschillende tools met elkaar verbindt zodat ze samen kunnen werken.
• Automatisering verwijst naar het uitvoeren van repetitieve, op regels gebaseerde taken zonder handmatige tussenkomst.
• Onder 'respons' worden de gestructureerde draaiboeken verstaan waarin wordt vastgelegd hoe specifieke soorten incidenten worden afgehandeld, vanaf de detectie tot en met de beheersing en documentatie.

Het praktische resultaat is een verkorting van de gemiddelde responstijd (MTTR). Organisaties die SOAR gebruiken, melden steevast dat de responstijden voor routinematige incidenten zijn gedaald van uren naar minuten, omdat de handmatige overdrachten die de respons vertragen, zijn vervangen door geautomatiseerde workflows die binnen enkele seconden worden uitgevoerd.

SIEM versus SOAR: de belangrijkste verschillen

SIEM en SOAR zijn nauw met elkaar verbonden en worden vaak door elkaar gehaald, deels omdat het verschil tussen beide steeds kleiner wordt naarmate moderne platforms functies van beide systemen integreren. Toch blijven de belangrijkste verschillen van belang voor iedereen die tussen beide systemen moet kiezen of moet beslissen hoe ze moeten worden ingezet.

In de onderstaande tabel worden de belangrijkste verschillen weergegeven op de aspecten die in de praktijk het meest van belang zijn.

Detectie versus reactie

Het belangrijkste verschil is functioneel van aard. SIEM identificeert bedreigingen door loggegevens te analyseren en waarschuwingen te genereren wanneer patronen overeenkomen met correlatierules of gedragsnormen. Het blijft bij de waarschuwing. SOAR gaat verder waar SIEM ophoudt: het neemt die waarschuwing over en voert automatisch een gestructureerde responsworkflow uit. Analisten omschrijven SIEM als de ‘ogen’ van het SOC en SOAR als de ‘handen’.

Gegevensbronnen

SIEM verzamelt onbewerkte loggegevens uit alle bronnen in de omgeving. SOAR verwerkt doorgaans bewerkte waarschuwingen, die het uit SIEM en andere beveiligingstools haalt in plaats van onbewerkte logbestanden. Hierdoor is SOAR afhankelijk van een betrouwbare detectielaag in de toeleveringsketen. Zonder nauwkeurige, goed afgestemde SIEM-waarschuwingen reageert SOAR-automatisering op onjuiste input en levert dit onbetrouwbare resultaten op.

Mate van automatisering

SIEM is grotendeels afhankelijk van analisten. Het genereert weliswaar waarschuwingen, maar het onderzoeken van die waarschuwingen, het bepalen van de te volgen koers en het uitvoeren van een reactie vereisen nog steeds menselijk inzicht. SOAR automatiseert de routinematige stappen in de respons, waardoor menselijke aandacht kan worden gereserveerd voor beslissingen die context of inzicht vereisen. Voor teams die grote hoeveelheden waarschuwingen moeten verwerken, is dit verschil bepalend voor het verschil tussen een houdbare werkwijze en burn-out.

Naleving en audit

Beide tools dragen bij aan de naleving van de regelgeving, maar op verschillende manieren. SIEM zorgt voor het bewaren van logbestanden en realtime monitoring, zoals voorgeschreven door de regelgeving. SOAR genereert audittrails via geautomatiseerde acties, waardoor precies wordt vastgelegd wat er wanneer is gedaan als reactie op elk incident. Samen voldoen ze zowel aan de vereisten voor detectie als aan die voor het documenteren van de reactie.

Hoe SIEM en SOAR samenwerken

De meest effectieve beveiligingsorganisaties hoeven niet te kiezen tussen SIEM en SOAR. Ze zetten beide achtereenvolgens in, waarbij SIEM gegevens aan SOAR doorgeeft om zo een zogenaamde ‘gesloten detectie- en responscyclus’ te creëren.

Zo werkt die cyclus in de praktijk. Het SIEM-systeem verzamelt continu log- en gebeurtenisgegevens uit de hele omgeving. Wanneer de correlatie-engine een verdacht patroon detecteert, genereert deze een geprioriteerde waarschuwing. Die waarschuwing wordt doorgestuurd naar het SOAR-platform, dat deze ontvangt en onmiddellijk het juiste playbook uitvoert. Geautomatiseerde verrijkingsstappen worden binnen enkele seconden uitgevoerd: het IP-adres wordt vergeleken met feeds van dreigingsinformatie, het betreffende gebruikersaccount wordt opgehaald bij de identiteitsprovider, de recente activiteit van het apparaat wordt bekeken en de ernst wordt beoordeeld. Als de verrijkte waarschuwing de drempel voor geautomatiseerde inperking overschrijdt, isoleert het SOAR-platform het apparaat, blokkeert het het IP-adres of reset het de inloggegevens zonder te wachten op goedkeuring van een analist. Er wordt een ticket geopend, de analist wordt op de hoogte gesteld met de volledige context al bijgevoegd en het incident wordt gedocumenteerd.

Het resultaat is dat de analist een volledig verrijkt, vooraf gesorteerd incident krijgt in plaats van een onbewerkt alarm. De reactietijd wordt korter. De alarmmoeheid neemt af. De analist besteedt zijn tijd aan de zaken die menselijk inzicht vereisen, en niet aan het repetitieve sorteerwerk dat door automatisering wordt afgehandeld.

Stel je een phishing-scenario voor. Een medewerker klikt op een schadelijke link. Het SIEM-systeem detecteert ongebruikelijk authenticatiegedrag en ongebruikelijke patronen in de gegevenstoegang vanuit het account van die gebruiker en geeft een waarschuwing af. Het SOAR-playbook wordt geactiveerd: de link wordt getoetst aan dreigingsinformatie, de e-mail wordt uit de mailbox gehaald en in quarantaine geplaatst in alle getroffen inboxen, de inloggegevens van het gebruikersaccount worden gereset en er wordt een ticket geopend met de volledige tijdlijn van activiteiten die al is samengesteld. Tegen de tijd dat de analist de zaak bekijkt, is de directe schade beperkt en kan het onderzoek op een solide basis beginnen.

SIEM of SOAR: welke is voor jou de juiste keuze?

Voor organisaties die nog in de beginfase van hun beveiligingsontwikkeling zitten, is SIEM doorgaans de eerste stap. Je kunt geen automatische reactie instellen op een waarschuwing die je niet op betrouwbare wijze kunt genereren. Voordat je in SOAR investeert, is het de moeite waard om je af te vragen of je detectielaag nauwkeurige, goed afgestemde waarschuwingen genereert waarop een playbook met vertrouwen kan reageren. Een SOAR-platform dat is gebaseerd op slecht afgestemde SIEM-waarschuwingen vergroot het probleem in plaats van het op te lossen.

Voor de meeste organisaties is de juiste aanpak om eerst een SIEM-systeem te implementeren, dit zo te finetunen dat de betrouwbaarheid van de waarschuwingen hoog genoeg is om erop te vertrouwen, en vervolgens SOAR-automatisering in te voeren voor de waarschuwingstypen die goed bekend zijn en veelvuldig voorkomen. Begin met de meest repetitieve workflows met het laagste risico: het beoordelen van phishing-pogingen, blokkering bij mislukte inlogpogingen en het blokkeren van bekende IP-adressen. Test de playbooks aan de hand van echte incidenten. Breid het systeem van daaruit verder uit.

Dat gezegd hebbende, hangt de beslissing ook af van de capaciteit van het team. Als je een klein beveiligingsteam hebt dat niet realistisch gezien elke melding handmatig kan onderzoeken, is er al in een vroeg stadium een sterk argument voor SOAR, omdat het alternatief een systematisch gebrek aan respons is. De SOAR-markt weerspiegelt deze realiteit: volgens Grand View Research groeit de wereldwijde SOAR-markt met een CAGR van 15,8% en zal deze naar verwachting in 2030 4,11 miljard dollar bereiken, grotendeels aangedreven door organisaties van elke omvang die de responswerkzaamheden willen automatiseren die hun teams niet handmatig kunnen volhouden.

Voor MSP’s die de beveiliging in meerdere klantomgevingen beheren, is de keuze nog duidelijker. Het gelijktijdig toepassen van consistente, gedocumenteerde responsprocedures bij tientallen klanten is alleen haalbaar met automatisering. Een goed opgesteld SOAR-draaiboek zorgt ervoor dat bij elk incident de beste werkwijzen worden toegepast, zonder dat er bij elke stap toezicht van een analist nodig is.

Heb je zowel SIEM als SOAR nodig?

Voor de meeste organisaties met meer dan een handvol eindpunten en enige noemenswaardige nalevingsverplichtingen is het praktische antwoord ja, hoewel dit niet per se in de vorm van twee afzonderlijke gelicentieerde producten hoeft te zijn.

De reden hiervoor is structureel. Bij een SIEM-systeem zonder SOAR moet elke melding die binnenkomt door een medewerker worden onderzocht en moet er worden beslist wat ermee moet gebeuren. In omgevingen waar dagelijks duizenden gebeurtenissen worden geregistreerd, is dat onhoudbaar. Analisten raken overbelast, de reactietijden worden langer en de belangrijke meldingen gaan verloren in de wirwar van gegevens.

SOAR zonder SIEM kampt met het omgekeerde probleem. SOAR is een responsengine die betrouwbare triggers nodig heeft. Zonder een goed afgestelde detectielaag die deze engine van informatie voorziet, heeft het niets om op te reageren.

In de praktijk hoeven organisaties niet altijd twee afzonderlijke platforms aan te schaffen en te beheren. Veel moderne SIEM-tools beschikken tegenwoordig standaard over SOAR-gerelateerde functies, zoals ingebouwde regels voor geautomatiseerde reacties, workflows in de vorm van playbooks en casemanagement, waardoor de noodzaak van een afzonderlijke SOAR-tool afneemt. Dit geldt met name voor MSP’s en kleinere IT-teams, waar de operationele lasten van het onderhouden van twee afzonderlijke systemen niet haalbaar zijn.

In mei 2025 publiceerde CISA richtlijnen voor organisaties over de implementatie van SIEM en SOAR, waarin het de geïntegreerde toepassing van beide systemen formeel aanbeveelt en opmerkt dat automatiseringslagen tegenwoordig worden beschouwd als basisvereisten voor volwassen beveiligingsactiviteiten, en niet langer als optionele extra’s.

Breng detectie en respons samen met Kaseya SIEM

SIEM en SOAR bieden een oplossing voor aanverwante, maar toch verschillende problemen. SIEM vormt de detectielaag en geeft inzicht in wat er in uw omgeving gebeurt. SOAR vormt de responslaag en bepaalt welke maatregelen er moeten worden genomen. Door deze systemen achtereenvolgens in te zetten, overbruggen ze de kloof waar elk beveiligingsteam vroeg of laat mee te maken krijgt: de tijd die verstrijkt tussen het moment dat een dreiging wordt gedetecteerd en het moment dat er daadwerkelijk actie wordt ondernomen.

Voor de meeste organisaties zijn daarvoor geen twee afzonderlijke platforms, twee contracten en twee sets regels nodig. Wat nodig is, is een SIEM met een volwassen, ingebouwde automatische respons. Dat geldt met name voor MSP’s en kleine IT-teams, waar de operationele lasten van het beheer van SIEM en SOAR als afzonderlijke systemen vaak niet haalbaar zijn gezien het beschikbare personeelsbestand.

Kaseya SIEM is precies op dat model gebaseerd. Het combineert platformoverschrijdende correlatie van bedreigingen uit meer dan 60 gegevensbronnen met geautomatiseerde responsregels die inperkingsmaatregelen uitvoeren, zoals het blokkeren van accounts, het isoleren van apparaten en het markeren van aflopende sessies, zonder dat daarvoor een apart SOAR-platform nodig is. De responsregels worden geïmplementeerd en bijgewerkt door het team van Kaseya, zodat teams profiteren van automatisering zonder dat ze zelf voortdurend playbooks hoeven te ontwikkelen en aan te passen. Voor teams die meer controle willen, zijn de regels volledig configureerbaar.

De 24/7 SOC-dekking die in Kaseya SIEM is ingebouwd, houdt in dat wanneer geautomatiseerde reacties de routinematige stappen afhandelen, er nog steeds een menselijke analist beschikbaar is voor escalaties. Automatisering verwerkt de grote hoeveelheid gegevens. Mensen nemen de beslissingen waarvoor beoordelingsvermogen nodig is. Voor teams die bekijken waar SOAR in hun systeemstack past, is dat de vraag die ze zich als eerste moeten stellen: vereist de automatisering die u nodig hebt een op zichzelf staand platform, of is er een SIEM nodig dat al is ontworpen om te reageren?