Další generace SOC, jak ji postavit: AAFO (Agentické bezpečnostní operace)

Termín SOC (Bezpečnostní operační středisko) je termín, který nikdo není obeznámen s jako bezpečné osoby. Ale za ty dva roky je to trochu trapné: SIEM sbírá záznamy, EDR zachytávací terminály, AI SOC vám pomáhá s varováním -- každý prsten je chytřejší, a čím více je policejní linka jasná, tím více lidí pracuje.

V průmyslu se objevil nový koncept:ASOP (Agentic Security Operations Platform, Smart Body Secure Operating Platform)Nevím. Není to další SOC produkt, ale jiný úhel. Tento článek dává jasně najevo: co to je a kde to je, jak to přistálo, co by se mělo zeptat, než to koupí.

I. PREPARED CONTEXT: ASO je provozní model

ASO (Agentické bezpečnostní operace, inteligentní operátoři)Obchodní model: Nechť AI je inteligentní tělo a definitivní pracovní postup pracovat společně pracovat bezpečně od signálu k řešení.

Pozor, ne jen SOC alarm. Požadavek totožnosti, detekce narušení, forenzní shoda, chyba konfigurace cloudu -Každá práce, která dnes padne do manuální fronty.. Osoba je odpovědná za stanovení úrovně autonomie a vždy zachovat kontrolu.

Platforma pro spuštění tohoto vzoru je ASOP. Je to bezpečné.Kontrolní letadloMá integrovaný, pracovní, zpravodajský, případový a řídící mechanismus.

II. "Duševní" a "pracovní proud" se liší, ale obojí

Je to zásadní rozdíl. Je tu hodně zmatku:

• AI chytré těloPodívejte se na současnou situaci, posuňte se k objektivnímu uvažování a jednejte prostřednictvím nástrojů, které jste schválili. Je založena na tom, co právě našla.
• Pracovní proudPořád stejné kroky, přesně to, co jsi mu řekla.

Oba dva i jeden z nich musí být potrestáni "tam, kde je povolen každý odkaz". To znamená ovládat letadlo.

III. Graf, který rozumí hranici ASO

Představte si bezpečný provoz jako spektrum zleva doprava:

• NejlevějšíDatové vedení, požití log, rozklad, skladování - území SIEM
• Střed• Testování, hodnocení, šetření
• Správně.Recovery, zadržovací, recovery a zpětné smyčky proudící zpět k testování

AI SOC pokrývá jen střed.Čte poplašná data, uvažuje, a dává vám závěr. Nepotřebuje povolení k psaní - proto je snadné to postavit, každý to vyrábí a tam to končí. Výsledkem systému, který pouze uzavřel motory a opravil lidi, bylo, že alarmy byly uzavřeny rychleji, ale zápory zůstaly tak vysoké.

ASO Přepsat mid- to - rightTo znamená, že od okamžiku, kdy je alarm spuštěn do doby, kdy je problém opravdu vyřešen. To se také táhne doleva pro testování - ne pro provádění zkoušek (což je také práce SIEM / EDR / Log bezpečnostní nástroje), ale pro provoz perimetrů odhalit: nesprávné podávání zpráv o pravidlech, hledání slepých oblastí, ověření, zda testování je stále účinné po ekologických změnách a přesměrování zjištění do pravidel.

Je tu jeden dobrý.Pravidlo bylo spuštěno 847 krát minulý měsíc, 812 automaticky.- Mluví to samo o sobě. Jsou to systémy, které uchovávají tyto údaje o výsledcích, které mohou na tyto informace působit.

Jedna věta shrnuje rozdíl mezi třemi nástroji:Nástroje, které lze vidět pouze, nemohou jednat, nástroje, které mohou jednat pouze, nelze odůvodnit a nástroje, které lze pouze odůvodnit, jsou bezmozkové.

IV. Proč "Řídicí letadlo"

Za posledních 10 let,Gravitace dat: koncentrace telemetrie, viditelnost, pohled. Tato logika fungovala, dokud množství údajů nepřesáhlo analytickou kapacitu.

Následuje dalších 10 let.Gravitace pracovního prouduTen, kdo má tok oprav, má výsledek. Neviditelnost operace představuje nákladné náklady na monitorování.

To vysvětluje protiintuitivní jev:Ale, úkol nesnížil pracovní zátěž. Jen to posunulo práci.Nevím.

Před AI byla fronta omezena na lidskou kapacitu, takže byla potlačena výstraha o nízkém riziku a celá řada testů byla uzavřena. AI vzala strop a ono prostě stouplo - desetkrát, dokonce i malá propagační sazba, znamená mnohokrát více manuálního rozhodování než v minulosti. Stroj absorbuje množství procesu, ne úsudek. Nové omezení se nazývá MTTD (střední doba rozhodnutí, průměrná doba rozhodnutí)Nevím.

Rozhodující fronty jsou prázdné jen tehdy, když je na čem skutečně jednat. To je řídící letadlo.

V. Proč ne jen SOC

To z ASO dělá platformu, ne plastový SOC nástroj.

Podívejte se, co každý chytrý program bezpečnosti těla potřebuje:Integrace, organizace, sledování případů, manuální schvalování spolupráce, řízení a audit s písemnou autoritouNevím. AI SOC potřeby, inteligentní řešení skulin, inteligentní IAM, cloud zabezpečení, GRC, AppSec, lov hrozeb, detekční práce - všichni potřebují stejnou základnu.

Samostatné nákupy dosahují pěti rekonstrukcí stejné infrastruktury: pěti auditních řetězců, pěti schvalovacích proudů a pěti věcí, z nichž je tým v souladu s požadavky na dodržování předpisů. Vede na ASOP, a kontext je opětován - aktiva, expozice, identita, historie případů jsou na jednom místě, krmí každou inteligenci.

To je skutečný význam "dělat bezpečnostní práci chytrou":Ne každý úkol má na vrcholu chytré tělo, ale řídící letadlo, které potřebuje chytré tělo, když se odvodí, a určitý pracovní postup.

VI. Jak ASOP funguje: SUDA smyčka

V případě Mrknutí, to běží SUDA cycle--Viz (viz), Underwood (pochopit), Rozhodnutí (rozhodování), Zákon (akce)Každý krok cesty je vláda a lidská kontrola.

• Viz: Požití signálu z jakéhokoliv nástroje v technologickém skladu
• Underwood: subjekt pro výběr, eutrofizace, devalvace, sdružení
• Rozhodnutí: Závěry, posouzení závažnosti a rizik, doporučení pro opatření
• Zákon: zadržování, eradikace, obnova, zavedená prováděcím rámcem (postroj)

Zásady návrhu jsou:Každá etapa běží na té nejlevnější úrovni, která ji dokáže vyřešit.Kontrolní seznam je konečný a musí být posouzen před jeho modelem. Každý alarm má velký model, který si nemůže dovolit -- je to ekvivalentní přeměně vašeho tokenu na nový poplatek za autorizaci SIEM.

Jedna věta:Zdůvodnění zpravodajských služeb, poprava v rámci práce, prosazování rámce vymáhání práva.

VII. ASOP vs SOAR vs AI SOC

• POŘÁDJe to na tobě. Je to přesně to, co jsi mu řekl. To není soud.
• AI SOCJe dobrý nápad jít na kliniku, přestat vyvozovat závěry, jen SOC, nebo způsob, jakým to získáváte od výrobce.
• ASOP: První den je k dispozici přednastavený program pro inteligentní tělo a lze jej přizpůsobit - protože žádné dvě prostředí nevypadají stejně

VIII. Jak můžeme zajistit kontrolu? Rozdíl mezi zábradlím a postroji

Myslím, že celá myšlenka průmyslového designu stojí za kopírování.

Většina praktik v tomto odvětví spočívá v tom, že se pro řízení diagnózy, závěrů a reakcí používá model v první linii a že jsou okamžitě napsány hranice.Ale rychlý plotem je v podstatě požadavek, aby model řádně fungoval.- Může to být špatně vyložené, ignorované nebo řečeno.

A... Harness je platforma-úroveň omezení, kde inteligence nemůže vidět, mluvit nebo důvod.: nástroj pro teritorializaci rolí, provedení karantény, uzávěr zdroje, jistič. Běží pod modelem, rychle nemůže být aplikován dostatečně.

Rozdíl je:Guardrail jen žádá o dobré chování, Harness je závazný.

Blink to dá na zem do čtyř ověřitelných mechanismů důvěry:

• Agent Harness.Polní nástroje, segregace, uzávěry zdrojů, jističe, všechny povinné pod modely
• Challenger Patterson: Nezávislý vyzyvatel zaútočil na každý závěr, než ho soudce nechal jít
• 1 písm. b) nařízení o kapitálových požadavcích.: inteligentní mobilita těla, klíč v držení trezoru a řízený pracovní postup
• Úřad není úřad: Inteligentní orgány mohou být podrobeny pouze předběžným kontrolám, auditním dovednostem a nejsou založeny na stálé autoritě

Sledování také drží krok. Průvodce AI vydaný skupinou CISA Joint Ally Group doporučuje přístup k bezpečnému designu.Berte inteligenci jako nedůvěryhodnou identitu, která dává minimální privilegia.Nevím. Praktickou verzí je plánování identity inteligentního orgánu a kompletní auditní řetězec před rozšířením autonomie, nikoli později. Skutečnost je taková, že většina organizací dosud nedosáhla tohoto bodu - identifikační průzkum Aliance Cloud Safety Alliance v roce 2026 zjistil, že americká vláda není schopna tak učinit.Pouze 18 procent společností má vysokou úroveň důvěry ve své vlastní IAM řídit svou inteligenci identity.Nevím.

Měření se mění.

A pokud vaše SOC stále hlásí, "Kolik alarmů každý analytik zavře ve své třídě," změříte proces, který už neexistuje.

Cíl je od AlartName Otočit Autonomní a human- on- the- load rozlišeníNevím. Otázka zní: "Kolikrát vypneme alarm" na "kolikrát ho opravíme."

Tento ukazatel je nepříjemné, protože odhaluje mezeru. Je to však také jediný ukazatel, který může spojovat bezpečné provozní vstupy a bezpečnostní výsledky.

Jak přistát: cesta do splatnosti

Nepoužívej vypínač, je to cesta:

Umělecká automatizace AI Pomocné Smart Leadership a Schvalovací rámec pro Self- Provoz

Důvěra je získána, ne udělena. Od místa, kde je zátěž lékáren nejtěžším, protože důvěra se buduje postupně, pak se stejná platforma používá v další oblasti - integrace, řízení případů, schvalovací tok, auditní řetězec - to je to, co znamená "dělat na platformě".

Pamatuj:Jedná se o posun mezi lidmi, procesy a technologiemi, nikoli o zadávání zakázek.

XI. JAK SE ASSOP

Nezírej na funkční seznam, na kontrolu a pokrytí. Devět kontrolních bodů:

• Uzavřený kruh: konzultace, šetření, odpověď, nikoli závěr a předání
• Cross- domainSoc, IAM, VM, GRC, cloud security, nejen SOC
• Neutralita prodejců a šíře integrace: Být schopen porovnat nástroje, které již máte, ne zamknout technologický trezor
• Preset a přizpůsobitelnéPrvní den je plán a může se změnit, ne černá skříňka.
• Kontrola vlastnictví: Autonomní úrovně jsou běžně nastaveny, přizpůsobeny růstu důvěry
• Výchozí osoba v ringu: Operace s vysokým rizikem otevřené se schválením
• Auditní, dostupné důkazy: Každé rozhodnutí a akce mohou být přezkoumány a vyvezeny pro audit
• Zkušební práce jsou v dosahu.: Modifikované, pokryté slepé oblasti, ověřené, vrácený tok výsledků - ale plošina nepředstírá, že se jedná o zkušební motor
• Rychlost nasazení: Několik dní reálných výsledků, ne dlouhodobý projekt

Jaký je skutečný efekt?

Blink dal dva veřejné případy (výrobní údaje, viz):

• HUMAN Security: 123 vyhrožoval lovecké zpravodajské orgány, 11 z nich vyžadovalo manuální přezkum, 2 z nich byly skutečné objevy vyžadující záplaty, a inteligentní těla zachránil týmy více než 100 hodin ruční práce
• Globální pojišťovna.: pracovní tok inteligentních těles rozšířený z 5 na 30 + a čas rozlišení alarmů 15 minut do 1 minuty. Tady. Vnitřní

Blink tvrdí, že má 30 000 + integrátor, 500 + preset smart-body šablony, které financují přes 100 milionů dolarů. Tato čísla nesou polohu výrobce, ale směr je jasný:Výsledkem nikdy nebylo "kolik alarmů bylo vypnuto", ale "kolik problémů bylo opraveno".

Na konci: migrace paradigmatu

Když se ohlédnu zpátky, éra SIEM řeší "viz", éra SOAR řeší "vymahatelný" a věk AI SOC řeší "úsudek". A ASOP se snaží vyřešit poslední odkaz:Přeměnit soud v uzavřený kruh, který umožní skutečně přistát.

Má větší cenu než pár inteligentních těl.Přesunutí zaměření bezpečného provozu z "dat" na "pracovní proud"Nevím. Ten, kdo má tok oprav, má výsledky - fráze v příštích pěti letech může být důležitější než jakýkoli technický detail.

Samozřejmě, neztraťte se v konceptu. ASOP je v současné době navrhován výrobcem a definován výrobcem (BlinkOps, Elastic, Optiv, SEC1, všechny v tomto směru), a normy a hranice jsou stále ve formě. Skutečný základ rozsudku je jednoduchý:Mohlo by to dostat váš tým z "Call of Police" a napravit skutečný problém?

AI SOC vám dává závěr, ASOP vám pomůže to napravit.

Odkaz: BrinkOps, Co je agentura bezpečnostní operační program, Elastic Smart Operating Definition, Optiv / SEC1 ASOP program, CISA Smart Body AI Guide, 2026 Cloud Safety Union Identity Survey