Die nächste Generation von SOCs, wie man es baut: AAFO (Agentic Security Operations)

Der Begriff SOC (Security Operations Centre) ist ein Begriff, den niemand als sichere Person kennt. Aber es ist ein wenig unangenehm in den zwei Jahren: SIEM sammelt Protokolle, EDR-Terminals, AI SOC hilft Ihnen bei den Warnungen - jeder Ring wird intelligenter, und je mehr die Polizeilinie klar ist, desto mehr Menschen arbeiten.

So entstand ein neues Konzept in der Branche:ASOP (Agentic Security Operations Platform, Smart Body Secure Operating Platform)Ich weiß es nicht. Es ist kein anderes SOC-Produkt, sondern ein anderer Blickwinkel. Dieser Artikel macht deutlich: was es ist und wo es ist, wie es gelandet ist, was es fragen sollte, bevor es gekauft wird.

I. VORBEREITETER KONTEXT: ASO ist ein Betriebsmodell

ASO (Agentic Security Operations, Smart Operators)GeschäftsmodellLassen Sie den intelligenten Körper und den definitiven Workflow der KI zusammenarbeiten, um vom Signal zur Auflösung sicher zu arbeiten.

Achtung, nicht nur SOC Alarm. Identitätsanforderung, Verletzungserkennung, Compliance-Forensik, Cloud-Konfigurationsfehler -Jede Arbeit, die heute in die manuelle Warteschlange fällt.Die Person ist dafür verantwortlich, den Grad der Autonomie festzulegen und stets die Kontrolle zu behalten.

Die Plattform zum Ausführen dieses Musters ist ASOP. Es ist sicher.KontrollebeneEs hat einen integrierten Workflow, Intelligenz, Fall und Governance-Mechanismus um ihn herum.

II. "Intellektuell" und "Workstream" sind unterschiedlich, aber beides

Es ist ein entscheidender Unterschied. Es gibt eine Menge Verwirrung:

• AI Smart BodySehen Sie sich die aktuelle Situation an, bewegen Sie sich in Richtung objektiver Überlegungen und handeln Sie durch die von Ihnen genehmigten Werkzeuge. Es basiert auf dem, was es gerade gefunden hat.
• WorkstreamImmer die gleichen Schritte ausführen, genau das, was du ihm gesagt hast.

Beide und einer von ihnen müssen diszipliniert werden, "wo jeder Link erlaubt ist". Das ist, was es bedeutet, das Flugzeug zu kontrollieren.

III. Ein Graph, der die ASO-Grenze versteht

Stellen Sie sich einen sicheren Betrieb als Spektrum von links nach rechts vor:

• Links davonDatenleitung, Protokollaufnahme, Zersetzung, Speicherung - SIEM-Gebiet
• Zentrum• Prüfung, Überweisung, Untersuchung
• rechtsWiederherstellungs-, Eindämmungs-, Wiederherstellungs- und Rückkopplungsschleifen, die zum Testen zurückkehren

AI SOC deckt nur die Mitte ab.Es liest Alarmdaten, Argumentation und gibt Ihnen eine Schlussfolgerung. Es braucht keine Erlaubnis zum Schreiben - deshalb ist es einfach zu bauen, jeder macht es, und es hört dort auf. Das Ergebnis eines Systems, das nur die Motoren schloss und die Menschen reparierte, war, dass die Alarme schneller geschlossen wurden, aber der Rückstand blieb so hoch.

ASO Overwrite Mitte nach rechtsDas heißt, von dem Moment an, in dem der Alarm ausgelöst wird, bis zu dem Zeitpunkt, an dem das Problem wirklich behoben ist. Es erstreckt sich auch nach links zum Testen - nicht zum Ausführen von Tests (was auch die Arbeit von SIEM / EDR / Log-Sicherheitstools ist), sondern zum Betreiben der Perimeter, um Fehlmeldungen von Regeln zu erkennen, nach blinden Bereichen zu suchen, zu überprüfen, ob Tests nach Umweltänderungen noch wirksam sind und die Ergebnisse in die Regeln umzuleiten.

Es gibt eine gute:Eine Regel wurde 847 Mal im letzten Monat ausgelöst, 812 Mal automatisch.- Es spricht in sich selbst. Es sind die Systeme, die diese Ergebnisdaten speichern, die auf diese Informationen reagieren können.

Ein Satz fasst den Unterschied zwischen drei Werkzeugen zusammen:Die Werkzeuge, die nur gesehen werden können, können nicht handeln, die Instrumente, die nur handeln können, können nicht begründet werden, und die Instrumente, die nur begründet werden können, sind hirnlos.

IV. WARUM ‚Kontrollebene‘

In den letzten 10 Jahren,Datengravitation: Konzentrationstelemetrie, Sichtbarkeit, Einsicht. Diese Logik funktionierte, bis die Datenmenge die analytische Kapazität überstieg.

Die nächsten 10 Jahre werden folgenWorkstream GravitationWer auch immer den Reparaturfluss hat, hat das Ergebnis. Die mangelnde Sichtbarkeit der Operation ist ein teurer Überwachungsaufwand.

Dies erklärt ein kontraintuitives Phänomen:AI, der Auftrag hat die Arbeitsbelastung nicht reduziert. Es hat nur den Job verschoben.Ich weiß es nicht.

Vor der KI war die Warteschlange auf die menschliche Kapazität beschränkt, so dass Warnungen mit geringem Risiko unterdrückt wurden und die gesamte Palette von Tests geschlossen wurde. KI hat die Obergrenze überschritten, und sie ist nur gestiegen - zehnmal, sogar eine kleine Beförderungsrate, bedeutet ein Vielfaches mehr manuelle Entscheidungen als in der Vergangenheit. Die Maschine absorbiert die Prozessmenge, nicht das Urteil. Die neue Einschränkung heißt MTTD (mittlere Zeit bis zur Entscheidung, durchschnittliche Entscheidungszeit)Ich weiß es nicht.

Entscheidungsschlangen sind nur dann leer, wenn es etwas gibt, worauf man wirklich reagieren kann. Das Ding ist das Kontrollflugzeug.

V. WARUM NICHT NUR SOC

Dies macht ASO zu einer Plattform, nicht zu einem Plastik-SOC-Tool.

Sehen Sie, was jedes Smart Body Safety Programm braucht:Integration, Organisation, Case Tracking, manuelle Genehmigung Zusammenarbeit, Governance und Audit mit schriftlicher AutoritätIch weiß es nicht. AI-SOC-Anforderungen, intelligentes Body-Lücken-Management, intelligente IAM, Cloud-Sicherheit, GRC, AppSec, Bedrohungsjagd, Erkennungsarbeit - alle brauchen die gleiche Basis.

Getrennte Einkäufe bedeuten fünf Rekonstruktionen derselben Infrastruktur: fünf Auditketten, fünf Genehmigungsströme und fünf Dinge, die dem Compliance-Team Kopfschmerzen bereiten. Läuft auf einer ASOP, und der Kontext wird reziprokiert - Vermögenswerte, Exposition, Identität, Fallgeschichte sind alle an einem Ort und füttern jede Intelligenz.

Das ist die wahre Bedeutung von "Making Security Work Smart":Nicht jede Aufgabe hat einen intelligenten Körper an der Spitze, sondern eine Kontrollebene, die einen intelligenten Körper benötigt, wenn sie abgeleitet wird, und einen bestimmten Workflow.

VI. Wie ASOP funktioniert: SUDA loop

Im Falle von Blink läuft der SUDA-Zyklus --Siehe (siehe), Underwood (verstehen), Entscheiden (Entscheidungsfindung), Handeln (Handeln)Jeder Schritt auf dem Weg dorthin ist Regierungsführung und menschliche Kontrolle.

• Siehe: Aufnahme eines Signals von einem beliebigen Werkzeug in einem Technologielager
• Unterholz: Entnahmestelle, Eutrophierung, Gewichtung, Assoziation
• Entscheidung: Schlussfolgerungen, Einschätzungen von Schweregrad und Risiken, Handlungsempfehlungen
• Akte: Eindämmung, Tilgung, Wiederauffüllung, die durch den Durchführungsrahmen vorgeschrieben sind (Harness)

Die wichtigsten Designprinzipien sind:Jede Stufe läuft auf der billigsten Executive-Etage, die es lösen kann.Die Checkliste ist definitiv und muss beurteilt werden, bevor sie modelliert wird. Jeder Alarm führt ein großes Frontmodell aus, das sich nicht leisten kann - es entspricht der Umwandlung Ihrer Token-Rechnung in eine neue SIEM-Autorisierungsgebühr.

Ein Satz:Intelligence Reasoning, Workstream Execution, Durchsetzung von Rahmenbedingungen.

VII. ASOP vs SOAR vs AI SOC

• SAUER: Es liegt an dir. Es ist genau das, was du gesagt hast. Es ist kein Urteil.
• AI SOCEs ist eine gute Idee, in die Klinik zu gehen, aufhören, Schlussfolgerungen zu ziehen, nur SOC, oder wie Sie es vom Hersteller bekommen.
• ASOP: Ein domänenübergreifendes voreingestelltes Smart-Body-Programm ist am ersten Tag verfügbar und kann angepasst werden - weil keine zwei Umgebungen gleich aussehen

VIII. Wie kann die Kontrolle sichergestellt werden? Unterschied zwischen Leitplanke und Geschirr

Es ist die ganze Idee des Industriedesigns, die es meiner Meinung nach wert ist, kopiert zu werden.

Die meisten Praktiken in der Branche sind, dass ein Front-Line-Modell verwendet wird, um Diagnose, Schlussfolgerungen und Antworten zu verwalten, und Grenzen sind in prompt geschrieben.Aber der prompte Zaun ist im Wesentlichen eine Anforderung an ein Modell, um richtig zu funktionieren.- Es kann falsch gelesen, ignoriert oder gesagt werden.

Und... Harness ist eine Einschränkung auf Plattformebene, bei der Intelligenz nicht sehen, sprechen oder argumentieren kann.: Tool für Rollenterritorialisierung, Quarantäneausführung, Resource Cap, Breaker. Es läuft unter dem Modell, prompt kann nicht genug injiziert werden.

Der Unterschied ist:Guardrail verlangt nur nach gutem Verhalten, Harness ist bindend.

Blink setzt es vor Ort in vier überprüfbare Vertrauensmechanismen:

• Agent Harness.Feldwerkzeuge, Segregation, Ressourcenobergrenzen, Unterbrecher, alle unter Modellen obligatorisch
• Herausforderer PattersonEin unabhängiger Herausforderer griff jede Schlussfolgerung an, bevor der Juror sie loslässt
• Null Credential Exposure: intelligente Körpermobilität, Schlüssel durch Gewölbe gehalten und kontrollierter Workflow
• Behörde nicht BehördeIntelligente Körper können nur vorgeprüften, überprüfbaren Fähigkeiten unterzogen werden und basieren nicht auf einer ständigen Autorität.

Auch die Überwachung hält Schritt. Der von der CISA Joint Ally Group herausgegebene AI Guide empfiehlt einen sicheren Designansatz.Stellen Sie sich die Intelligenz als eine nicht vertrauenswürdige Identität vor, die minimale Privilegien gewährt.Ich weiß es nicht. Die praktische Version besteht darin, die Identität des intelligenten Körpers und die komplette Auditkette zu planen, bevor die Autonomie erweitert wird, und nicht später. Die Realität ist, dass die meisten Organisationen diesen Punkt noch nicht erreicht haben - eine Identifizierungsumfrage der Cloud Safety Alliance im Jahr 2026 ergab, dass die US-Regierung dazu nicht in der Lage ist.Nur 18 Prozent der Unternehmen haben ein hohes Maß an Vertrauen in ihre eigene IAM, um ihre Intelligenzidentität zu verwalten.Ich weiß es nicht.

IX. Metrikänderung.

Und wenn Ihr SOC immer noch berichtet: "Wie viele Alarme schließt jeder Analyst in seiner Klasse", messen Sie einen Prozess, der nicht mehr existiert.

Das Ziel ist von Verfolgte Warnungen Wende Autonome und Human-on-the-Load-AuflösungenIch weiß es nicht. Die Frage geht von "wie oft wir den Alarm ausschalten" zu "wie oft wir ihn beheben".

Dieser Indikator ist unbequem, weil er die Lücke freilegt. Aber es ist auch der einzige Indikator, der sichere Betriebseingaben und Sicherheitsergebnisse verbinden kann.

Wie man landet: ein Weg zur Reife

Verwenden Sie keinen Switch, es ist ein Pfad:

Handwerkliche Automatisierung AI Auxiliary Smart Leadership und Genehmigungsrahmen für den Selbstbetrieb

Vertrauen wird verdient, nicht vergeben. Ausgehend davon, wo die Belastung der Ausgabestellen am schwersten ist, da das Vertrauen allmählich aufgebaut wird, wird im nächsten Bereich die gleiche Plattform verwendet - Integration, Fallmanagement, Genehmigungsfluss, Auditkette - das bedeutet es, "auf der Plattform zu tun".

Denken Sie daran:Dies ist ein menschlicher, prozess- und technologiewandel, keine beschaffungsübung.

XI. WIE ZU UNTERSTÜTZEN

Starren Sie nicht auf die funktionale Liste, auf Kontrolle und Abdeckung. Neun Kontrollstellen:

• Voller geschlossener Kreis: Konsultation, Untersuchung, Antwort, keine Schlussfolgerung und Übermittlung
• DomainübergreifendSoc, IAM, VM, GRC, Cloud-Sicherheit, nicht nur SOC
• Anbieterneutralität und Integrationsbreite: In der Lage sein, die Tools, die Sie bereits haben, anzupassen, nicht den Technologie-Tresor zu sperren
• Preset und anpassbarEs gibt einen Plan am ersten Tag und er kann sich ändern, keine Blackbox
• EigentumskontrolleAutonomieniveaus werden routinemäßig festgelegt, angepasst für Vertrauenswachstum
• Standardperson im Ring: Operationen mit hohem Risiko mit Genehmigung geöffnet
• Überprüfbar, Nachweise verfügbar: Jede Entscheidung und Aktion kann überprüft und für Audits exportiert werden
• Testarbeiten sind in Reichweite.Modifizierte, abgedeckte blinde Bereiche, validiert, zurückgegebener Ergebnisfluss - aber die Plattform gibt nicht vor, dass es sich um eine Testmaschine handelt
• EinsatzgeschwindigkeitEin paar Tage mit echten Ergebnissen, kein langfristiges Projekt

Was ist der wahre Effekt?

Blink gab zwei öffentliche Fälle (Herstellungsdaten, siehe):

• Menschliche Sicherheit123 bedrohte Jagdgeheimdienste, von denen 11 manuell überprüft werden mussten, von denen 2 echte Entdeckungen waren, die Patches erforderten, und intelligente Körper retteten Teams mehr als 100 Stunden manuelle Arbeit
• Eine globale Versicherungsgesellschaft.: Arbeitsfluss von intelligenten Körpern von 5 auf 30 + und Zeit der Auflösung von Alarmen erweitert 15 Minuten bis 1 Minute. Hier. Internes

Blink behauptet, 30.000 + Integrator, 500 + voreingestellte Smart-Body-Vorlagen zu haben, die über 100 Millionen Dollar finanzieren. Diese Zahlen tragen die Position des Herstellers, aber die Richtung ist klar:Das Ergebnis war nie "wie viele Alarme ausgeschaltet wurden", sondern "wie viele Probleme behoben wurden".

Am Ende: eine Paradigmenmigration

Rückblickend löst die SIEM-Ära "sehen", die SOAR-Ära löst "durchsetzbar" und das AI-SOC-Zeitalter löst "Urteil". Und ASOP versucht, den letzten Link zu lösen:Das Urteil in einen geschlossenen Kreis verwandeln, so dass die Handlung wirklich landen kann.

Es ist mehr wert als ein paar intelligente Körper.Verlagerung des Fokus des sicheren Betriebs von "Daten" zu "Workstream"Ich weiß es nicht. Wer auch immer den Reparaturfluss hat, hat die Ergebnisse - der Satz in den nächsten fünf Jahren kann wichtiger sein als jedes technische Detail.

Verlieren Sie sich natürlich nicht im Konzept. ASOP wird derzeit vom Hersteller vorgeschlagen und vom Hersteller definiert (BlinkOps, Elastic, Optiv, SEC1, alles in diese Richtung), und Standards und Grenzen sind immer noch in Form. Die wirkliche Grundlage des Urteils ist einfach:Könnte es Ihr Team aus dem "Call of Police" herausholen und das eigentliche Problem beheben?

AI SOC gibt Ihnen eine Schlussfolgerung, ASOP hilft Ihnen, es in eine Lösung zu verwandeln.

Referenz: BrinkOps, What Is an Agency Security Operations Program, Elastic Smart Operating Definition, Optiv / SEC1 ASOP Program, CISA Smart Body AI Guide, 2026 Cloud Safety Union Identity Survey