يغلق حلقة «اكتُشف ← استُجيب»: playbooks جاهزة لعزل المضيف، وحظر IP، وإنشاء تذكرة مكتب الخدمة، وسجل لجميع الإجراءات. لا حاجة لمورّد SOAR منفصل — يعمل في نفس محيط XDR.
إزالة النسخ اليدوي للأوامر بين الوحات أثناء الحادث. يطلق المحلل playbook — تنفّذ المنصة الخطوات المتفق عليها وتسجّل النتيجة.
فرق SOC تحتاج SOAR مدمجاً دون ترخيص XSOAR منفصل. بيع إضافي نموذجي لـ Core + AI.
ترخيص ERA Response منفصل.