Europese SOAR- en security-automatiseringsplatforms

#1 Shuffle

Oslo, Noorwegen Opgericht in 2019 Gehoste abonnementen en support staan op de website van de leverancier, waarvan de prijspagina client-side wordt geladen Demo via de leverancier

Het meest geschikt voor: securityteams en MSSP's die op zoek zijn naar een zelf te draaien open source SOAR

• Exploiterend bedrijf. Shuffle AS
• Jurisdictie. EER, niet EU (Noorwegen)
• Waar de gegevens staan. Installeer het op servers die je beheert, of gebruik de gehoste cloud op shuffler.io (cloudregio niet vermeld)
• Broncode. Closed source
• Vervangt. Palo Alto Cortex XSOAR, Splunk SOAR

Shuffle is een open source automatiseringsplatform voor securityteams, met de code op GitHub onder de GNU Affero General Public License v3.0. Het README beschrijft het als gebouwd voor en door securityprofessionals en als geschikt voor MSSP's en andere serviceproviders. Volg de gepubliceerde handleiding om het op je eigen servers te installeren, of meld je aan voor de gehoste cloud op shuffler.io. Workflows worden visueel opgebouwd, met webhooks en app-integraties als triggers en acties.

Shuffle AS is gevestigd in Oslo, en het Noorse handelsregister toont het als een bedrijf voor computerprogrammering, geregistreerd in juli 2019. Noorwegen hoort bij de EER maar niet bij de EU. De prijzen van gehoste abonnementen bleven buiten bereik omdat de prijspagina client-side wordt geladen, en de hostinglocatie van de cloud wordt niet vermeld.

Het README verwijst naar Discord, e-mail en trainingen voor support en vraagt om GitHub-sponsoring, wat wijst op een klein kernteam. De AGPL legt ook verplichtingen op aan iedereen die de code aanpast en die als netwerkdienst aanbiedt. Casebehandeling wordt meestal gecombineerd met TheHive, dat het README behandelt in blogposts.

Opvallende functie. Geen andere op zichzelf staande SOAR in deze groep laat je de broncode lezen en zelf uitrollen zoals Shuffle dat doet.

#2 SecureVisio

Rzeszów, Polen (Duits kantoor in Kakenstorf) Op offerte; een pagina op de site beschrijft implementatie, support en licenties Plan een demo

Het meest geschikt voor: middelgrote SOC-teams en overheden die detectie en respons willen koppelen aan een assetinventaris

• Exploiterend bedrijf. Esecure Sp. z o.o.
• Jurisdictie. EU (Polen)
• Waar de gegevens staan. Geen datalocatie vermeld op de pagina's die we hebben gecontroleerd
• Broncode. Closed source
• Vervangt. Palo Alto Cortex XSOAR, Splunk SOAR, Splunk

SecureVisio is een Pools platform waarin de SOAR-laag naast SIEM en UEBA zit, zodat een melding de analist bereikt met gekoppelde asset-, kwetsbaarheids- en bedrijfsprocesdata. De site noemt een CMDB en een module voor business impact analysis, en de prioriteit van een incident komt uit een risicoscore die assetkriticiteit, toegepaste maatregelen en de ernst van regels meeweegt. Een onderdeel genaamd SVBot kijkt mee naar beslissingen van analisten en automatiseert sommige triageacties.

De contactpagina noemt Esecure Sp. z o.o. aan de ul. Hoffmanowej 19 in Rzeszów, Polen, plus een Duits kantoor in Kakenstorf, dus de contracterende partij zit binnen de EU.

De site claimt tot 99 procent automatisering van acties en meer dan 250 klanten en partners; beide zijn cijfers van de leverancier die we niet konden controleren. Prijzen zijn op aanvraag, en de pagina's die we lazen noemen geen hostingregio, geen zelf gehoste optie en geen oprichtingsjaar. Het referentiemateriaal is vooral Midden-Europees, dus controleer connectors voor tools die elders populair zijn. Ten opzichte van een pure workflow-engine zoals Shuffle is de assetcontext het verschil.

Opvallende functie. SecureVisio leidt incidentscores als enige af uit een ingebouwde assetinventaris en business impact analysis.

#3 TheHive

Frankrijk Jaarabonnement vanaf €26,000 over Gold, Platinum en ONE; een Community Edition met beperkte functies kost niets voor niet-commercieel werk Plan een demo

Het meest geschikt voor: CERT's, CSIRT's en SOC-teams die draaien om gestructureerde casebehandeling aangevuld met geautomatiseerde analyse

• Exploiterend bedrijf. StrangeBee SAS
• Jurisdictie. EU (Frankrijk)
• Waar de gegevens staan. Draai het in je eigen datacenter, of neem de SaaS-versie op een dedicated AWS-omgeving (regio niet vermeld)
• Broncode. Closed source
• Vervangt. Palo Alto Cortex XSOAR (casebeheer), Splunk SOAR

TheHive is een platform voor cases, meldingen en incidentbeheer van StrangeBee SAS in Frankrijk, en het dekt het deel van respons waarin analisten hun dag doorbrengen. Meldingen worden cases, observables gaan naar Cortex-analysers, en Cortex-responders handelen op de resultaten. De leverancier zegt dat de gebruikersbasis meer dan 5,000 analisten in meer dan 50 landen omvat, een cijfer dat het zelf rapporteert. MISP, MITRE ATT&CK, IMAP, webhooks en Cortex-acties komen voor in de Gold-editie.

De edities zijn Gold, Platinum en ONE, met een jaarabonnement vanaf €26,000 dat varieert met de implementatie, het aantal gebruikers en het aantal organisaties.

Platinum voegt casereports, e-mailintake van Microsoft 365 en Google Workspace, connectors voor Slack, Teams en Kafka, aangepaste functies en SAML toe, en het ONE-abonnement voegt TheHive Flow toe, een native orkestratie-engine, plus AI-mogelijkheden. Implementatie gaat on-premises, via cloudimages of als SaaS op een dedicated AWS-omgeving waarvan de regio niet is vermeld. Een beperkte Community Edition is gratis voor niet-commercieel gebruik. Voor een klein team zonder dat budget is Shuffle de goedkopere plek om te beginnen.

Opvallende functie. TheHive vertrekt vanuit de case en de Cortex-analysers, met orkestratie die later komt.

#4 Tines

Dublin, Ierland Opgericht in 2018 Gratis variant met 3 live workflows en onbeperkte gebruikers; hogere abonnementen worden individueel geofferteerd Plan een demo

Het meest geschikt voor: security- en IT-teams die op zoek zijn naar een controleerbare workflowtool zonder code, met een gratis startversie

• Exploiterend bedrijf. Tines Limited
• Jurisdictie. EU (Ierland)
• Broncode. Closed source
• Vervangt. Splunk SOAR, Swimlane, Zapier

Tines is een workflowautomatiseringstool uit Dublin, gericht op security- en IT-operations. Workflows worden getekend als een gerichte graaf van acties, wat goed past bij incidentrespons, waar een vals alarm zichzelf kan sluiten en een echte melding bij een persoon terechtkomt. Volgens het bedrijf zelf dateert het uit 2018, is het opgericht door twee voormalige securityoperators en heeft het een jaarlijkse SOC 2 Type II-audit.

Tines Limited in Dublin contracteert met klanten buiten Noord-Amerika, dus een Europese koper zou die entiteit op de order moeten zien, aangezien een Amerikaans bedrijf Noord-Amerika bedient. Drie live workflows, onbeperkte gebruikers en connectors, en geen creditcard maken de gratis editie voldoende om een werkende pipeline te bouwen voordat er over aankoop wordt gesproken.

Hogere abonnementen verhogen de workflowlimiet, zonder vermelde prijs. De catalogus met connectors voor algemene zakelijke tools is smaller dan die van Make of n8n, en het product is bedoeld voor security- en IT-werk, niet voor sales- of marketingautomatisering. Hostingopties worden door de leverancier genoemd als iets om met het team te bespreken.

Opvallende functie. Van deze tools is Tines de enige waarbij een gratis editie met onbeperkte gebruikers een echte securityworkflow kan draaien.

#5 Logpoint

Kopenhagen, Denemarken Gelicentieerd per node of per apparaat Plan een demo

Het meest geschikt voor: Europese ondernemingen en overheden die overstappen van Splunk of QRadar

• Exploiterend bedrijf. Logpoint
• Jurisdictie. EU (Denemarken)
• Broncode. Closed source
• Vervangt. Splunk, Microsoft Sentinel, IBM QRadar

Guardsix, voorheen Logpoint, is een SIEM uit Kopenhagen in Denemarken met UEBA en SOAR ingebouwd in één platform. De kaart hier beschrijft playbooks die lokaal binnen dat platform draaien, een implementatie die zonder internetverbinding kan, en een actielogboek bedoeld voor NIS2- en DORA-rapportage. Het product komt als software, als appliance of als SaaS, en de toolpagina vermeldt compliancerapportage voor NIS2, AVG en ISO 27001.

Licenties worden geteld in nodes of apparaten, niet in gigabytes die worden opgenomen, dus een extra logbron verhoogt de rekening niet. Als Deens bedrijf contracteert Logpoint vanuit de EU, en de toolpagina vermeldt alleen implementatieopties binnen de EU en EU-beveiligingscertificeringen. Aan de keerzijde is de detectiebibliotheek kleiner dan die van Sekoia, moeten de nodeaantallen bij een grote omgeving goed worden gecontroleerd, is het ecosysteem van derden dunner dan rond Splunk, en zijn de verkopen gericht op ondernemingen.

Opvallende functie. Guardsix beschrijft dat zijn SOAR en zijn SIEM allebei in één installatie draaien die zonder internetverbinding kan, iets wat geen ander platform op deze lijst doet.

#6 SEKOIA.IO

Parijs, Frankrijk Gehost abonnement Plan een demo

Het meest geschikt voor: SOC-teams en MSSP's die liever hebben dat de leverancier de detectiecontent onderhoudt

• Exploiterend bedrijf. SEKOIA.IO
• Jurisdictie. EU (Frankrijk)
• Broncode. Closed source
• Vervangt. Microsoft Sentinel, Splunk, CrowdStrike Falcon LogScale

Sekoia, op deze site vermeld als SEKOIA.IO, is een SOC-platform uit Parijs dat SIEM-achtige detectie combineert met eigen cyberdreigingsinformatie. Volgens de toolpagina voedt het volgen van actieve dreigingsactoren door het inlichtingenteam de detectieregels, die naar MITRE ATT&CK zijn gekoppeld, en komen casebeheer en geautomatiseerde respons erbij. De kaart op deze pagina voegt toe dat het gebruiksscenario voor geautomatiseerde incidentrespons binnen hetzelfde platform draait.

Het bedrijf heeft zijn hoofdkantoor in Parijs, host in Frankrijk en presenteert zichzelf als een soevereine keuze voor Europese SOC's. Multi-tenancy past bij managed security providers. De prijs is een gehost abonnement, meestal per assets of events, dus je moet die eerst doorrekenen voordat je vergelijkt.

De toolpagina noemt het alleen SaaS, hoewel de kaart een aangekondigde zelf gehoste optie vermeldt. Het bedrijf is jonger dan de langlopende SIEM-leveranciers, en de klantenbasis is geconcentreerd in Frankrijk. De website is verhuisd naar sekoia.com, en bij onze controle was er weinig leesbaar buiten de homepage.

Opvallende functie. Sekoia koppelt zijn responslaag aan detectieregels die door een eigen team voor dreigingsinformatie zijn geschreven, iets wat de andere platforms hier niet doen.

#7 Torq

Tel Aviv, Israël (hoofdkantoor voor de Amerika's in Denver) Niet vermeld op de homepage van de leverancier Plan een demo

Het meest geschikt voor: middelgrote en grote SOC-teams die overstappen van gescripte playbooks naar begeleide AI-agents

• Exploiterend bedrijf. Torq Technologies Ltd.
• Rechtsgebied. Israël (buiten de EU/EEA)
• Waar de gegevens staan. Geen datalocatie vermeld op de pagina's die we hebben gecontroleerd
• Broncode. Closed source
• Vervangt. Palo Alto Cortex XSOAR, Splunk SOAR

Torq is een leverancier van securityautomatisering die zichzelf heeft herpositioneerd als AI-SOC-platform. De homepage zegt dat agents gebeurtenissen ontdubbelen, oordelen opbouwen op basis van eerdere beslissingen van het team, cases openen en reageren, zelfstandig of met een persoon in de lus. Productnamen op de site zijn onder meer Auto Triage, HyperAgents, Socrates, Case Management en Hyperautomation, en de leverancier noemt auditlogboeken en een handmatige overrule. Ook worden agentische runbooks voor threat hunting ondersteund.

Het privacybeleid noemt Torq Technologies Ltd., een vennootschap naar Israëlisch recht in Tel Aviv, als verwerkingsverantwoordelijke, en Israëlisch recht is van toepassing op de websitevoorwaarden. Torq Technologies, Inc., een Amerikaanse dochteronderneming, beschikt over de EU-VS Data Privacy Framework-certificering en exploiteert het hoofdkantoor voor de Amerika's in Denver.

Israël valt buiten de EU en de EER, en omdat de klantovereenkomst niet is gelezen, is de contracterende entiteit niet bevestigd. Prijzen, zelf hosten en datalocatie ontbreken allemaal op de pagina's die we hebben beoordeeld. Teams die op zoek zijn naar gescripte, deterministische playbooks halen er mogelijk minder uit door de focus op agents.

Opvallende functie. Torq bouwt zijn belangrijkste interface rond een AI-agent die onder menselijke overrule werkt, in tegenstelling tot elke andere leverancier hier.

#8 Cynet

Israël (rechtbanken van Tel Aviv-Yaffo) Offerte na een demoformulier Plan een demo

Het meest geschikt voor: kleine IT-securityteams die detectie en geautomatiseerde respons bij één leverancier afnemen

• Exploiterend bedrijf. Cynet Security Ltd.
• Rechtsgebied. Israël (buiten de EU/EEA)
• Waar de gegevens staan. Geen datalocatie vermeld op de pagina's die we hebben gecontroleerd
• Broncode. Closed source
• Vervangt. Palo Alto Cortex XSOAR, Splunk SOAR

Cynet komt van een Israëlische endpoint- en XDR-leverancier en heeft zijn SOAR-laag in het platform ondergebracht, zodat er geen afzonderlijke SOAR gelicentieerd of onderhouden hoeft te worden. Geautomatiseerd onderzoek begint zodra een detectie afgaat, en het platform levert een grafische tijdlijn, een analyse van de hoofdoorzaak en een auditspoor. Playbooks zijn vooraf gebouwd of worden samengesteld in een editor met slepen en neerzetten, en een phishingvoorbeeld op de SOAR-pagina loopt door de stappen trigger, onderzoeken, insluiten, melden en verifiëren.

Cynet Security Ltd. is de wederpartij in de websitevoorwaarden, onder Israëlisch recht met de rechtbanken van Tel Aviv-Yaffo. We hebben alleen die voorwaarden gelezen, dus de ondertekenende entiteit op klantcontracten is niet bevestigd. Prijzen volgen op een demoaanvraag, en er wordt geen datalocatie gegeven.

Snelheids- en automatiseringspercentages op de pagina's zijn eigen metingen van de leverancier. De pagina zegt dat playbooks switches, firewalls en directories bereiken, maar de lijst met ondersteunde producten werd niet getoond. Teams die willen dat Cynet-medewerkers dag en nacht meldingen bekijken, kunnen een 24x7 MDR-optie toevoegen, die de andere tools op deze pagina niet bieden.

Opvallende functie. Cynet bundelt een endpointproduct, SOAR en een beheerde 24x7-dienst van één Israëlische leverancier, een combinatie die geen andere tool hier biedt.

#9 Intezer

Israël (met een gelieerd Amerikaans bedrijf) Starter- en Complete-niveaus worden per endpoint gefactureerd, cijfers alleen via verkoop Plan een demo

Het meest geschikt voor: SOC-teams die het onderzoek van Tier 1- en Tier 2-meldingen uit handen geven in plaats van playbooks te bouwen

• Exploiterend bedrijf. Intezer Labs Ltd. en Intezer Labs Inc.
• Rechtsgebied. Israël (buiten de EU/EEA)
• Waar de gegevens staan. Geen datalocatie vermeld op de pagina's die we hebben gecontroleerd
• Broncode. Closed source
• Vervangt. Palo Alto Cortex XSOAR (triage-playbooks)

Intezer verkoopt een AI-SOC die meldingen uit endpoint-, phishing-, SIEM-, cloud- en identiteitsbronnen onderzoekt, valse positieven verwijdert en echte dreigingen doorstuurt voor menselijke beoordeling of automatische remediatie. De eigen navigatie noemt SIEM en SOAR als onderwerpen, en het blog beschrijft het koppelen van het product aan SOAR-tools, dus het vult vaker een orkestrator aan dan dat het er een vervangt. Starter dekt één meldingsbron en Complete dekt ze allemaal.

Beide abonnementen worden per endpoint gefactureerd, met bedragen op aanvraag bij verkoop. Starter omvat automatisch verzamelen van bestanden en URL's, diepgaand onderzoek met sandboxing en AI, en automatisch oplossen van valse positieven. Complete voegt aangepaste responsworkflows toe, een optionele beheerde SIEM-add-on en experts op aanvraag.

De gebruiksvoorwaarden noemen Intezer Labs Ltd. en Intezer Labs Inc. samen onder Israëlisch recht, dus de order moet bevestigen welke van beide met jou contracteert. We vonden geen datalocatie of verklaring over zelf hosten. Het is geen algemene SOAR, omdat de breedte aan playbooks voor willekeurige tools alleen in de aangepaste workflows van het Complete-abonnement zit.

Opvallende functie. Intezer wordt verkocht als onderzoeksdienst per melding, ook voor meldingen met lage ernst, wat het op deze lijst onderscheidt.

#10 Hunters

Israël Individueel geoffreerd Plan een demo

Het meest geschikt voor: kleine SecOps-teams die geautomatiseerd onderzoek willen zonder detecties of playbooks te hoeven schrijven

• Exploiterend bedrijf. Cyber Hunters Ltd.
• Rechtsgebied. Israël (buiten de EU/EEA)
• Waar de gegevens staan. Geen datalocatie vermeld op de pagina's die we hebben gecontroleerd
• Broncode. Closed source
• Vervangt. Palo Alto Cortex XSOAR (triage-automatisering)

Hunters presenteert zichzelf als een SIEM van de volgende generatie voor kleine SecOps-teams. De homepage schrijft het bouwen, beheren en afstemmen van detecties toe aan Team Axon, de eigen medewerkers, zegt dat scoring, correlatie en verrijking automatisch lopen, en dat het platform alles van inname tot respons in één oplossing dekt. Op de pagina's die we lazen is er geen playbookeditor, dus het vervangt een deel van een SOAR en niet het geheel.

Cyber Hunters Ltd. en gelieerde bedrijven staan in het privacybeleid, en de websitevoorwaarden vallen onder het recht van de Staat Israël.

De navigatie noemt Hunters voor Snowflake, Hunters voor AWS en een MSSP-oplossing, maar die platformpagina's gaven een foutmelding, dus de diepgang is alleen op basis van de homepage beoordeeld. De prijs is op offerte en er wordt geen datalocatie gegeven. Een team dat al een SIEM heeft en orkestratie over zijn tools wil, haalt meer uit Shuffle of Torq, en dat is de reden dat Hunters op deze pagina als laatste staat.

Opvallende functie. Hunters laat de regels achter zijn automatisering aan het eigen detectieteam van de leverancier over in plaats van aan de klant, wat het hier onderscheidt.