Den næste generation af SOC 'er hvordan man bygger det: AAFO (Agentic Security Operations)

Udtrykket SOC (Security Operations Centre) er et begreb, som ingen kender som en sikker person. Men det er lidt akavet i de to år: SIEM indsamler logs, EDR capture terminaler, AI SOC hjælper dig med varslingerne - hver ring bliver klogere, og jo mere politiet linje er klar, jo mere folk arbejder.

Så et nyt koncept opstod i branchen:ASOP (Agentic Security Operations Platform, Smart Body Secure Operating Platform)Det ved jeg ikke. Det er ikke et SOC-produkt, men en anden vinkel. Denne artikel gør det klart, hvad den er, og hvor den er, hvordan den landede, hvad den skal spørge, før den køber den.

I. FORBEREDT BAGGRUND: ASO er en operationel model

ASO (Agentic Security Operations, Smart Operators)Forretningsmodel: Lad AI 's smarte krop og endelige workflow arbejde sammen for at arbejde sikkert fra signal til opløsning.

Ikke kun SOC-alarm. Identitetsanmodning, afsløring af brud, overholdelse af retsvidenskab, skykonfigurationsfejl -Ethvert arbejde, der vil falde i manuel kø i dag.Personen er ansvarlig for at fastsætte niveauet for autonomi og altid bevare kontrollen.

Platformen for at køre dette mønster er ASOP. Det er sikkert.KontrolplanDet har en integreret, arbejdsbaseret, efterretnings-, sags- og forvaltningsmekanisme omkring sig.

II. "Intellektuel" og "workstream" er forskellige, men begge

Det er en afgørende forskel. Der er meget forvirring:

• AI Smart Body: Se på den nuværende situation, bevæge sig i retning af objektive ræsonnement, og handle gennem de værktøjer, du har godkendt. Den er baseret på det, den lige fandt.
• Arbejdsstrøm: Altid kører de samme trin, præcis hvad du fortalte ham.

Begge, og en af dem, skal disciplineres "hvor alle links er tilladt". Det er, hvad det betyder at styre flyet.

III. En graf der forstår ASO grænsen

Forestil dig sikker drift som et spektrum fra venstre til højre:

• VenstreDatakanal, log indtagelse, nedbrydning, opbevaring - SIEM område
• Centrum• Test, henvisning, undersøgelse
• HøjreGenvinding, indeslutning, nyttiggørelse og feedback loops strømmer tilbage til test

AI SOC dækker kun midten.Det læser alarmdata, ræsonnement, og giver dig en konklusion. Det behøver ikke at skrive - derfor er det let at bygge, alle gør det, og det stopper der. Resultatet af et system, der kun afsluttede motorerne og reparerede folk, var, at alarmen blev lukket hurtigere, men efterslæbet forblev så højt.

ASO Overskriv midt til højreDet vil sige, fra det øjeblik alarmen udløses, til problemet virkelig er løst. Det strækker sig også til venstre for test - ikke for løbende test (som også er arbejdet i SIEM / EDR / Log sikkerhedsværktøjer), men for drift af perimetre til at opdage: fejlrapportering af regler, søge efter blinde områder, kontrollere, om test er stadig effektiv efter miljøændringer og omdirigering resultater i reglerne.

Der er en god en:En regel blev udløst 847 gange sidste måned, 812 gange automatisk.- Det taler i sig selv. Det er de systemer, der har disse resultater data, der kan handle på denne information.

En sætning opsummerer forskellen mellem tre værktøjer:De redskaber, der kun kan ses, kan ikke handle, de instrumenter, der kun kan handle, kan ikke begrundes, og de instrumenter, der kun kan begrundes, er hjernedøde.

IV. HVORFOR "Kontrolfly"

I løbet af de sidste 10 år,DatatyngdekraftKoncentrationstelemetri, synlighed, indsigt. Denne logik fungerede, indtil mængden af data oversteg analysekapaciteten.

De næste 10 år vil følgeArbejdsstrøm tyngdekraft: Den, der har reparationsstrømmen, har resultatet. Operationens manglende synlighed er en dyr kontrolomkostning.

Dette forklarer et kontraintuitivt fænomen:Al, opgaven reducerede ikke arbejdsbyrden. Det har lige flyttet jobbet.Det ved jeg ikke.

Før AI, køen var begrænset til menneskelig kapacitet, så lavrisiko advarsler blev undertrykt og hele spektret af test blev lukket. AI tog loftet, og det bare gik op -- ti gange, selv en lille promotion sats, betyder mange gange mere manuel beslutningstagning end tidligere. Maskinen absorberer procesmængden, ikke dømmekraften. Den nye begrænsning kaldes MTTD (Gennemsnitlig tid til beslutning, gennemsnitlig beslutningstid)Det ved jeg ikke.

Beslutningstagningen er kun tom, når der er noget at handle på. Det er kontrolflyet.

V. HVORFOR IKKE bare SOC

Dette gør ASO til en platform, ikke et plastisk SOC værktøj.

Se, hvad ethvert smart bodysecurity program har brug for:Integration, organisation, sagssporing, manuelt godkendelsessamarbejde, styring og revision med skriftlig myndighedDet ved jeg ikke. AI SOC behov, smart krop smuthul management behov, smart IAM, cloud sikkerhed, GRC, AppSec, trussel jagt, detektionsarbejde - alle har brug for den samme base.

Separat køb udgør fem rekonstruktioner af samme infrastruktur: fem revisionskæder, fem godkendelsesstrømme og fem ting, der giver compliance team en hovedpine. Kører på et ASOP, og sammenhængen er gengældt - aktiver, eksponering, identitet, sag historie er alle på ét sted, fodre enhver intelligens.

Dette er den virkelige betydning af "at gøre sikkerhed arbejde smart":Ikke alle opgaver har en smart krop på toppen, men en kontrol plan, som har brug for en smart krop, når deduceret, og en bestemt arbejdsgang.

VI. Hvordan ASOP virker: SUDA loop

I Blink-sagen kører den SUDA-cyklen...Se (se), Underwood (forstå), beslutning (beslutningstagning), lov (handling)Hvert skridt på vejen er styring og menneskelig kontrol.

• Se: Indtagelse af et signal fra ethvert værktøj i et teknologilager
• Underwood: abstinenser, eutrofiering, devægtning, forening
• BeslutKonklusioner, vurderinger af alvorlighed og risici, anbefalinger til handling
• Lov: indeslutning, udryddelse, nyttiggørelse i henhold til gennemførelsesrammen (sele)

De centrale designprincipper er:Hvert trin kører på den billigste etage, der kan løse det.Checklisten er definitiv og skal vurderes, før den er modelleret. Hver alarm kører en front-line stor model, der ikke har råd -- det svarer til at gøre din token regningen til en ny SIEM godkendelse gebyr.

En sætning:Intelligens ræsonnement, udførelse af arbejde, håndhævelse.

VII. ASOP vs SOAR vs AI SOC

• SOARDet er op til dig. Det er præcis, hvad du sagde. Det er ikke en dom.
• AI SOCDet er en god idé at gå til klinikken, stoppe med at drage konklusioner, bare SOC, eller den måde, du får det fra producenten.
• ASOP: Et cross-domæne forudindstillet smart body program er tilgængelig på den første dag og kan tilpasses - fordi ingen to miljøer ser det samme

VIII. Hvordan kan kontrollen sikres? Forskellen mellem guardrail og sele

Det er hele ideen med industrielt design, som jeg synes er værd at kopiere.

De fleste af praksis i branchen er, at en frontline model bruges til at styre diagnose, konklusioner og svar, og grænser er skrevet i hurtig.Men det hurtige niveau hegn er grundlæggende en anmodning om en model til at udføre korrekt.- Det kan misforstås, ignoreres eller siges.

Og... Harness er en platform- niveau begrænsning, hvor intelligens ikke kan se, tale eller fornuft.: værktøj til rolleterritorialisering, karantæne henrettelse, ressource cap, breaker. Det kører under modellen, hurtig kan ikke injiceres nok.

Forskellen er:Guardrail beder bare om god opførsel, Harness er bindende.

Blink sætter det på jorden i fire kontrollerbare trustmekanismer:

• Agent Harness.Field værktøjer, adskillelse, ressourcer hætter, breakers, alle obligatoriske under modeller
• Challenger Patterson: En uafhængig udfordrer angreb alle konklusioner, før retsformanden lader det gå
• Nul krediteksponering: smart body mobilitet, nøgle indehaves af hvælving og kontrolleret arbejdsgang
• Myndighed ikke: Intelligente organer kan kun være underlagt forudscreenede, auditable færdigheder handling og er ikke baseret på stående myndighed

Overvågningen fortsætter også. AI Guide udstedt af CISA fælles Ally Group anbefaler en sikker design tilgang.Tænk på intelligens som en utroværdig identitet, giver minimale privilegier.Det ved jeg ikke. Den praktiske version er at planlægge den intelligente krop identitet og komplet revision kæde før udvide autonomi, snarere end senere. Virkeligheden er, at de fleste organisationer endnu ikke har nået dette punkt - en identifikation undersøgelse af Cloud Safety Alliance i 2026 konstateret, at den amerikanske regering ikke er i stand til at gøre det.Kun 18 procent af virksomhederne har en høj grad af tillid til deres egen IAM til at styre deres intelligens identitet.Det ved jeg ikke.

IX. Metrics forandring.

Og hvis din SOC stadig rapporterer, "Hvor mange alarmer hver analytiker lukker i sin klasse", du måle en proces, der ikke længere eksisterer.

Målet er fra Indberetninger prøvet Drej Autonome og human- on- the- load-resolutionerDet ved jeg ikke. Spørgsmålet går fra "hvor mange gange vi slukker alarmen" til "hvor mange gange vi retter den".

Denne indikator er ubehageligt, fordi det udsætter hullet. Men det er også den eneste indikator, der kan forbinde sikre operationelle input og sikkerhedsresultater.

Hvordan man lander: en vej til modenhed

Brug ikke en kontakt, det er en sti:

Kunst Automation AI Hjælpende Smart Leadership og godkendelsesramme for Self-Operation

Tillid er fortjent, ikke tildelt. Med udgangspunkt i hvor byrden ved apoteker er mest tung, da tillid opbygges gradvist, bruges den samme platform i det næste område - integration, sagsstyring, godkendelse flow, revision kæde - det er, hvad det betyder at "gøre på platformen".

Husk:Det er et menneske-, proces- og teknologiskift, ikke en indkøbsøvelse.

XI. HVORDAN ASSOP

Kig ikke på den funktionelle liste, på kontrol og dækning. Ni kontrolsteder:

• Fuld lukket cirkel: høring, undersøgelse, svar, ikke en konklusion og fremsendelse
• Cross- domæneSoc, IAM, VM, GRC, cloud security, ikke bare SOC
• Leverandørneutralitet og integrationsbredde: Vær i stand til at matche de værktøjer, du allerede har, ikke låse teknologiboksen
• Preset og kan tilpasses: Der er en plan på den første dag, og den kan ændre sig, ikke en sort boks
• Ejerskabskontrol: Autonominiveauer er rutinemæssigt indstillet, justeret for tillid vækst
• Standardperson i ring: Højrisikooperationer åbne med godkendelse
• Revisible, dokumentation tilgængelig: Enhver beslutning og handling kan revideres og eksporteres med henblik på revision
• Testarbejdet er inden for rækkevidde.: Modificerede, dækkede blinde områder, validerede, returnerede flow af resultater - men platformen foregiver ikke, at det er en testmotor
• ImplementeringshastighedEt par dage med reelle resultater, ikke et langsigtet projekt

Hvad er den virkelige effekt?

Blink gav to offentlige sager (fremstillingsdata, se):

• Humanitær sikkerhed: 123 truede jagtefterretningsorganer, hvoraf 11 krævede manuel gennemgang, hvoraf 2 var virkelige opdagelser, der krævede patches, og intelligente organer reddede hold over 100 timers manuelt arbejde
• Et globalt forsikringsselskab.: arbejdsflow af intelligente organer udvidet fra 5 til 30 + og tidspunkt for opløsning af alarmer 15 minutter til 1 minut. Her. Intern

Blink hævder at have 30.000 + integrator, 500 + forudindstillet smartbody skabeloner, der finansierer over $100 millioner. Disse tal bærer fabrikantens position, men retningen er klar:Resultatet var aldrig "hvor mange alarmer er blevet slukket" men "hvor mange problemer er blevet rettet".

I slutningen: en paradigmemigration

Ser tilbage, SIEM æra løser "se", SOAR æra løser "eksigibel" og AI SOC alder løser "dom". Og ASOP forsøger at løse det sidste link:At forvandle dømmekraft til en lukket cirkel, så handling virkelig lander.

Det er mere værd end et par intelligente kroppe.Flytning fokus for sikker drift fra "data" til "workstream"Det ved jeg ikke. Den, der har reparationsstrømmen, har resultaterne - sætningen i de næste fem år kan være vigtigere end nogen teknisk detalje.

Selvfølgelig, fare ikke vild i konceptet. ASOP er i øjeblikket foreslået af producenten og defineret af producenten (BlinkOps, Elastisk, Optiv, SEC1, alle i denne retning), og standarder og grænser er stadig i form. Det virkelige grundlag for dommen er enkelt:Kan det få dit hold ud af "Ring til politiet" og løse det virkelige problem?

AI SOC giver dig en konklusion, ASOP hjælper dig med at gøre det til en rettelse.

Reference: BrinkOps, What is an Agency Security Operations Program, Elastisk Smart Operating Definition, Optiv / SEC1 ASOP Program, CISA Smart Body AI Guide, 2026 Cloud Safety Union Identity Survey