SOAR bezeichnet Werkzeuge, die wiederkehrende Abläufe der Sicherheitsarbeit automatisieren und verschiedene Systeme zu durchgängigen Reaktionsketten verbinden. Ausgangspunkt ist ein Mengenproblem, denn ein Sicherheitsteam bearbeitet täglich mehr Meldungen, als es einzeln prüfen kann, und ein Großteil davon folgt immer demselben Muster.
Automatisiert werden deshalb die Vorarbeiten: Anreicherung einer Meldung mit Zusatzinformationen, Abgleich gegen Bedrohungsdaten, Zusammenstellen des Kontexts und Anlegen eines Vorgangs, sodass Menschen erst bei der Bewertung einsteigen. Reaktionen wie das Isolieren eines Geräts, das Sperren eines Kontos oder das Blockieren einer Adresse lassen sich ebenfalls hinterlegen, üblicherweise mit einer Freigabe durch einen Menschen vor eingriffsintensiven Schritten.
Beschrieben werden solche Ketten in Playbooks, also festgelegten Abläufen je Fallart, deren Erstellung und Pflege den eigentlichen Aufwand ausmacht. Sinnvoll ist die Technik erst ab einem Meldungsaufkommen, das manuell nicht mehr zu bewältigen ist, und damit typischerweise im Umfeld eines SOC.