Следващото поколение SOCs как да го изградите: AAFO (Agentic Security Operations)

Терминът SOC (Операционен център за сигурност) е термин, с който никой не е запознат като безопасно лице. Но е малко неловко през двете години: СИЕМ събира трупи, EDR залавяне на терминали, AI SOC ви помага с предупрежденията -- всеки пръстен става все по-умен, и колкото повече полицейската линия е ясна, толкова повече хора работят.

Така че в индустрията се появи нова концепция:ASOP (Agentic Security Operations Platform, Smart Body Secure Operating Platform)Не знам. Това не е друг продукт на SOC, а различен ъгъл. Тази статия го прави ясно: какво е, и къде е, как се приземи, какво трябва да попитам, преди да го купуват.

I. ПРЕПОРЪЧЕН КОНТЕКСТ: ASO е оперативен модел

ASO (Агентни операции по сигурността, интелигентни оператори)Бизнес модел: Нека умното тяло на AI и окончателния работен процес работят заедно, за да работят безопасно от сигнал до резолюция.

Внимание, не само аларма. Искане за самоличност, откриване на пробив, съдебна медицина за съответствие, грешка в конфигурацията на облака -Всяка работа, която ще попадне в ръчната опашка днес.. Човекът е отговорен за определянето на нивото на автономия и винаги запазва контрола.

Платформата за изпълнение на този модел е ASOP. В безопасност е.Контролна равнинаТой има интегриран, работен поток, интелигентност, случай и механизъм за управление около него.

II. "Интелектуален" и "работен поток" са различни, но и двете

Това е решаваща разлика. Има много объркване:

• AI Умно тяло: Вижте сегашната ситуация, преминете към обективни разсъждения и действайте чрез инструментите, които одобрихте. Базира се на това, което току-що откри.
• WorkstreamВинаги правиш едни и същи стъпки, точно това, което му каза.

И двете от тях, и един от тях, трябва да бъдат дисциплинирани, където всяка връзка е разрешена. Това означава да контролираш самолета.

III. Графика, която разбира границата на ASO

Представете си безопасна работа като спектър отляво надясно:

• ЛявоТръба на данни, поглъщане на трупи, разлагане, съхранение - територия на СИЕМ
• Център• Тестване, сезиране, разследване
• Добре.Възстановяване, задържане, възстановяване и обратна връзка цикли, течащи обратно към изпитването

AI SOC покрива само средата.Чете алармени данни, разсъждава и ви дава заключение. Тя не се нуждае от разрешение да пишете, че е защо е лесно да се изгради, всеки го прави и то спира там. Резултатът от една система, която само заключи двигателите и поправи хората, беше, че алармите бяха затворени по-бързо, но беклогът остана толкова висок.

ASO Презапис от средата надясноТова е, от момента, в който алармата е задействана към момента, в който проблемът е наистина решен. Той също така се простира наляво за тестване - не за провеждане на тестове (което също е работа на SIEM/EDR/Log инструменти за сигурност), а за работа на периметъра за откриване: погрешно докладване на правила, търсене на слепи зони, проверка дали тестването все още е ефективно след екологични промени и пренасочване на констатации в правилата.

Има един добър:Правило е задействано 847 пъти миналия месец, 812 пъти автоматично.- Говори само по себе си. Системите, които съдържат тези данни за резултатите, могат да действат върху тази информация.

Едно изречение обобщава разликата между три инструмента:Инструментите, които само могат да се видят, не могат да действат, инструментите, които могат само да действат, не могат да бъдат обосновани, а инструментите, които могат да бъдат мотивирани, са безмозъчни.

IV. ЗАЩО гонитба

През последните 10 години,Гравитация на данните: концентрация телеметрия, видимост, прозрение. Тази логика работи до размера на данните, надхвърлящи аналитичния капацитет.

Следващите 10 години ще последватГравитация на работния поток: Който има възстановителен поток, той има резултат. Липсата на видимост на операцията е скъп разход за мониторинг.

Това обяснява един контраинтуитивен феномен:Ал, задачата не намали работата. Просто премести работата.Не знам.

Преди AI опашката беше ограничена до човешки капацитет, така че нискорисковите сигнали бяха потиснати и цялата гама от тестове беше затворена. Ал взе тавана, и той просто се покачи -- десет пъти, дори и малка промоция, означава много повече ръчно вземане на решения, отколкото в миналото. Машината поглъща количеството на процеса, а не преценката. Новото ограничение се нарича MTTD (Средно време за вземане на решение)Не знам.

Вземане на решения опашки са празни само когато има нещо, което наистина да действа. Това нещо е контролният самолет.

V. Защо просто не SOC

Това прави ASO платформа, а не пластмасов инструмент SOC.

Вижте от какво се нуждае всяка програма за безопасност:Интеграция, организация, проследяване на случаи, ръчно одобрение сътрудничество, управление и одит с писмен органНе знам. AI SOC нужди, интелигентни нужди за управление на вратички на тялото, умен IAM, клауд сигурност, GRC, AppSec, лов на заплахи, откриване на работа - всички се нуждаят от една и съща база.

Отделни покупки възлизат на пет реконструкции на една и съща инфраструктура: пет одиторски вериги, пет одобряващи потоци и пет неща, които дават на екипа за съответствие главоболие. Работи на ASOP, и контекстът е обратно - активи, излагане, идентичност, случай история са всички на едно място, хранене на всяка интелигентност.

Това е истинското значение на "да направим работата по сигурността умна":Не всяка задача има умно тяло отгоре, но контролен самолет, който се нуждае от интелигентно тяло, когато се заключи, и определен работен процес.

VI. Как работи ASOP: SUDA цикъл

В случай на Блинк, тя работи на SUDA цикъл--Вж. (вж.), Underwood (разбиране), Решаване (решение), Акт (действие)Всяка стъпка от пътя има управление и човешки контрол.

• Виж.: Поглъщане на сигнал от всеки инструмент в технологичен склад
• Underwood: лице за изтегляне, еутрофикация, обезтегляване, асоциация
• Решаване: Заключения, оценки на тежестта и рисковете, препоръки за действие
• Акт: ограничаване, ликвидиране, възстановяване, наложено от рамката за прилагане (нараняване)

Основните принципи на дизайна са:Всяка сцена работи на най-евтиния изпълнителен етаж, който може да го реши.Контролният лист е окончателен и трябва да се прецени преди да бъде моделиран. Всяка аларма работи на първа линия голям модел, който не може да си позволи -- това е равносилно на превръщането на вашия символ законопроект в нов SIEM лиценз такса.

Едно изречение:Разузнаване, изпълнение на работния поток, правоприлагане.

VII. ASOP срещу SOAR срещу AI SOC

• SORВсичко зависи от теб. Точно това, което му каза. Това не е присъда.
• AI SOCДобра идея е да отидеш в клиниката, да спреш да си правиш заключения, само SOC, или начина, по който го получаваш от производителя.
• ASOP: На първия ден е достъпна програма за интелигентно тяло, която може да се персонализира - защото няма две среди, които изглеждат еднакви

VIII. Как може да се осигури контрол? Разликата между парапета и колана

Идеята за индустриалния дизайн си струва да бъде копирана.

Повечето от практиките в индустрията са, че модел на първа линия се използва за управление на диагностика, заключения и отговори, а границите са написани своевременно.Но бързата ограда на ниво е по същество искане модел да изпълнява правилно.Може да бъде погрешно прочетено, игнорирано или казано.

И... Напрежението е ограничение на платформата, където разузнаването не може да вижда, говори или разсъждава.: инструмент за териториализация на ролите, изпълнение на карантина, ресурсна капачка, прекъсвач. Той работи под модела, бърза не може да се инжектира достатъчно.

Разликата е:Гаражът иска добро поведение, Харнес е обвързан.

Мигането го поставя на земята в четири проверими механизми на доверие:

• Агент Харнес.Полеви инструменти, сегрегация, шапки на ресурси, прекъсвачи, всички задължителни по модели
• Challenger Патерсън: Независим претендент атакува всяко заключение преди съдията да го пусне
• Нулева кредитна експозиция: мобилност на интелигентните тела, ключ, държан от трезора и контролиран работен поток
• Орган, който не е орган: Умните органи могат да бъдат подлагани само на предварително проверявани, подлежащи на одит умения и не се основават на постоянен орган

Наблюдението също продължава. Ръководството за ИИ, издадено от Съвместната група за съюзници CISA, препоръчва безопасен подход за проектиране.Мисли за интелигентността като за недостоверна самоличност, даваща минимални привилегии.Не знам. Практическата версия е да се планира самоличността на интелигентните органи и да се завърши одитната верига, преди да се разшири автономията, а не по-късно. Реалността е, че повечето организации все още не са достигнали тази точка - изследване за идентификация на Алианса за сигурност на облаците през 2026 г. установи, че правителството на САЩ не е в състояние да направи това.Само 18% от компаниите имат високо ниво на доверие в собствената си IAM да управляват своята разузнавателна идентичност.Не знам.

IX. Метриците се променят.

И ако вашето SOC все още докладва: "Колко аларми всеки анализатор затваря в класа си," Вие измервате процес, който вече не съществува.

Целта е от Сигналите са подредени Завъртане Автономни и човешки резолюцииНе знам. Въпросът се поставя от колко пъти ние изключваме алармата до го поправяме.

Този индикатор е неудобен, защото той излага празнината. Но това е и единственият показател, който може да свърже безопасните оперативни входове и резултатите от безопасността.

Как да се приземим: път към зрялост

Не използвай превключвател, това е път:

Artisanal Automation AI Допълнителна Smart Leadership and Refine Framework for Self-Operation

Доверието се печели, не се печели. Като се започне от мястото, където тежестта на fafferiers е най-тежки, тъй като доверието се изгражда постепенно, след това същата платформа се използва в следващата област интеграция, управление на случая, одобрение поток, одитна верига, това е, което означава да се направи на платформата.

Запомни:Това е човешка, технологична и технологична промяна, а не упражнение за възлагане на обществени поръчки.

XI. КАК ДА ПРИЕМАТЕ ASSOP

Не се взирай в функционалния списък, в контрол и покритие. Девет точки на инспекция:

• Пълен затворен кръг: консултации, разследване, отговор, а не заключение и предаване
• Кръстосан домейнSoc, IAM, VM, GRC, клауд сигурност, не само SOC
• неутралитет на търговец и обхват на интеграция: Бъдете в състояние да съвпадне с инструментите, които вече имате, не заключване на технологичния трезор
• Предварително и персонализираноИма план на първия ден и той може да се промени, а не черна кутия
• Контрол върху собствеността: Нивата на автоматика са рутинно определени, коригирани за растеж на доверието
• Лице по подразбиране в пръстен: високорискови операции, открити с одобрение
• Одитируеми, налични доказателства: Всяко решение и действие могат да бъдат преразгледани и изнесени за одит
• Тестовите работи са в обхват.: Модифицирани, покрити слепи зони, валидирани, върнат поток от резултати - но платформата не се преструва, че е двигател за изпитване
• Скорост на зареждане: Няколко дни реални резултати, а не дългосрочен проект

Какъв е истинският ефект?

Blink даде два публични случая (данни за производство, вж.):

• ЧОВЕШКА Сигурност: 123 заплашени ловни разузнавателни органи, 11 от които изискват ръчно наблюдение, 2 от които са истински открития, изискващи лепенки, и интелигентни тела спасяват екипи повече от 100 часа ръчна работа
• Световна застрахователна компания.: работния поток на интелигентните органи, разширени от 5 до 30 + и времето за разрешаване на алармите 15 минути до 1 минута. Ето. Вътрешен

Блинк твърди, че има 30 000+интегратор, 500+предварителни модели на умни тела, които финансират над 100 милиона долара. Тези цифри носят позицията на производителя, но посоката е ясна:Резултатът никога не е бил, колко аларми са били изключени, но колко проблеми са били фиксирани.

В края: парадигма миграция

Поглеждайки назад, ерата на СИЕМ решава "виж," ерата на SOAR решава "приложима" и възрастта на AI SOC решава "съдба." И ASOP се опитва да реши последната връзка:Превръщайки решението в затворен кръг, позволявайки на действията да се приземят.

Струва повече от няколко интелигентни тела.Преместване на фокуса на безопасната работа от "data" към "workstream"Не знам. Този, който има ремонт поток, има резултати год. фразата в следващите пет години може да бъде по-важно от всеки технически детайл.

Разбира се, не се губи в концепцията. В момента ASOP се предлага от производителя и се определя от производителя (BlinkOps, Elastic, Optiv, SEC1, всички в тази посока), а стандартите и границите все още са във форма. Истинската основа на преценката е проста:Може ли да изкара екипа ти от "Обади се на полицията" и да оправи истинския проблем?

AI SOC ви дава заключение, ASOP ви помага да го превърнете в корекция.

Reference: BrinkOps, What is a Agency Security Operations Program, Elastic Smart Operating Definition, Optiv / SEC1 ASOP Program, CISA Smart Body AI Guide, 2026 Cloud Safety Union Identity Survey