Seuraavan sukupolven SOCs miten rakentaa se: AAFO (Agentic Security Operations)

Termi "SOC" on termi, jota kukaan ei tunne turvallisena henkilönä. Mutta se on hieman kiusallista kahden vuoden aikana: SIEM kerää lokit, EDR kaapata pääteet, AI SOC auttaa sinua hälytykset -- jokainen sormus on tulossa fiksumpi, ja mitä enemmän poliisi linja on selkeä, sitä enemmän ihmiset työskentelevät.

Alalla syntyi uusi käsite:ASOP (Agentic Security Operations Platform, Smart Body Secure Operating Platform)En tiedä. Se ei ole toinen SOC-tuote, vaan eri kulma. Tässä artiklassa tehdään selväksi, mitä se on, missä se on, miten se laskeutui, mitä sen pitäisi kysyä ennen sen ostamista.

I. VALMISTETUT TAUSTAT: ASO on operatiivinen malli

ASO (Agenttiturvaoperaatiot, älykkäät toiminnanharjoittajat)Liiketoimintamalli: Anna tekoälyn älykkään kehon ja lopullisen työnkulun työskennellä yhdessä turvallisesti signaalista resoluutioon.

Huomio, ei vain SOC-hälytys. Henkilöllisyyspyyntö, rikkomuksen havaitseminen, sääntöjen noudattamisen tutkinta, pilviasetusvirhe -Kaikki manuaaliseen jonoon tänään kuuluvat työt.. Henkilö on vastuussa itsehallinnon tason asettamisesta ja valvonnan säilyttämisestä.

Alusta tämän kaavan ajamiseen on ASOP. Se on turvallista.OhjaustasoSen ympärillä on integroitu, työnkulku, tiedustelu, tapaus- ja hallintomekanismi.

II. "Älyllinen" ja "työvirta" ovat erilaisia, mutta molemmat

Se on ratkaiseva ero. On paljon hämmennystä.

• Al Smart Body: Katso nykytilannetta, siirry kohti objektiivista päättelyä ja toimi hyväksymisesi välineiden avulla. Se perustuu siihen, mitä se löysi.
• Työvirta: Aina juoksee samat vaiheet, juuri mitä kerroit hänelle.

Molemmat, ja yksi niistä, on kuritettava . Sitä koneen hallinta tarkoittaa.

III Kaavio, joka ymmärtää ASO:n rajan

Kuvittele turvallinen toiminta spektrinä vasemmalta oikealle:

• VasenTietokanava, lokin nieleminen, hajoaminen, varastointi - SIEM-alue
• Keskus• Testaus, käsittely, tutkinta
• Selvä.Elvytys-, eristämis-, talteenotto- ja takaisinkytkentäsilmukat, jotka virtaavat takaisin testaukseen

Al SOC kattaa vain keskeltä.Se lukee hälytystietoja, päättelyä ja tekee johtopäätöksen. Se ei tarvitse lupaa kirjoittaa Järjestelmän tulos, joka vain päätti moottorit ja korjasi ihmiset, oli, että hälytykset suljettiin nopeammin, mutta ruuhka pysyi niin suuri.

ASO Korvaa mid-to- rightHälytys alkaa siitä hetkestä, kun ongelma on todella korjattu. Se ulottuu myös vasemmalle testattavaksi - ei ajokokeita varten (mikä on myös SIEM/EDR/Log-turvatyökalujen työtä), vaan pintojen käytön havaitsemiseksi: sääntöjen virheellistä raportointia, sokeiden alueiden etsimistä, sen todentamista, onko testaus edelleen tehokasta ympäristömuutosten jälkeen ja löydösten uudelleenreitittämistä sääntöihin.

Onpa hyvä.Sääntö laukaistiin 847 kertaa viime kuussa, 812 kertaa automaattisesti.- Se puhuu itsestään. Juuri nämä tulokset sisältävät järjestelmiä, jotka voivat vaikuttaa näihin tietoihin.

Yhdessä lauseessa esitetään kolmen välineen välinen ero:Vain nähtävät välineet eivät voi toimia, välineet, jotka voivat vain toimia, eivät voi olla perusteltuja, ja välineet, jotka voidaan vain perustella, ovat aivottomia.

IV. Miksi?

Viimeiset 10 vuottaDatapainovoima: keskittymistelemetria, näkyvyys, ymmärrys. Tämä logiikka toimi, kunnes tietojen määrä ylitti analyyttisen kapasiteetin.

Seuraavat 10 vuottaTyövirran painovoima: Joka on korjausvirta, hänellä on tulos. Toimenpiteen näkyvyyden puute on kallis seurantakustannus.

Tämä selittää vasta-aiheisen ilmiön:Tekoäly ei vähentänyt työtaakkaa. Se siirsi työtä.En tiedä.

Ennen tekoälyä jono oli rajoitettu ihmisen kapasiteettiin, joten matalariskiset hälytykset poistettiin ja kaikki testit suljettiin. Tekoäly otti katon ja se vain nousi -- kymmenen kertaa, jopa pieni ylennysaste, tarkoittaa monta kertaa enemmän manuaalista päätöksentekoa kuin aiemmin. Kone imee prosessin määrän, ei tuomion. Uusi rajoitus on nimeltään MTTD (Keskimääräinen aika päätöksen tekemiseen, keskimääräinen päätösaika)En tiedä.

Päätöksentekojonot ovat tyhjiä vain silloin, kun on jotain, johon todella vaikuttaa. Se on ohjauskone.

V. Miksei vain SOC

Tämä tekee ASO:sta alustan, ei muovisen SOC-työkalun.

Katso mitä jokainen älykäs kehon turvallisuusohjelma tarvitsee:Integrointi, organisaatio, tapausten seuranta, manuaalinen hyväksyntäyhteistyö, hallinto ja tarkastus kirjallisen viranomaisen kanssaEn tiedä. AI SOC tarpeet, älykkään kehon porsaanreiän hallinta tarpeet, älykäs IAM, pilviturvallisuus, GRC, AppSec, uhkametsästys, havaitseminen työtä - kaikki tarvitsevat samaa perustaa.

Erilliset hankinnat ovat saman infrastruktuurin viisi rekonstruktiota: viisi tarkastusketjua, viisi hyväksyntäketjua ja viisi asiaa, jotka aiheuttavat compliance-tiimille päänsärkyä. Toimii ASOP, ja asiayhteys on vastavuoroisesti - varat, altistuminen, identiteetti, tapaushistoria ovat kaikki samassa paikassa, syöttää kaikki älykkyyttä.

Tämä on sen todellinen merkitys, että turvallisuustyö on järkevää:Kaikissa tehtävissä ei ole älykästä vartaloa, vaan ohjaustaso, joka tarvitsee älykkään vartalon pääteltyään, ja varman työnkulun.

VI. Miten ASOP toimii: SUDA-silmukka

Blinkin tapauksessa se pyörittää SUDA-sykliä.Ks. (ks.), Underwood (Ymmärretty), Päätös (päätöksenteko), Laki (kanne)Hallinnointi ja inhimillinen valvonta ovat joka vaiheessa.

• Katso: Signaalin nauttiminen mistä tahansa työkalusta teknologiavarastossa
• Underwood: vetäytymisyksikkö, rehevöityminen, painonalennus, yhdistyminen
• Päätä: Päätelmät, vakavuus- ja riskiarviot, toimintasuositukset
• Säädös: leviämisen estäminen, hävittäminen, hyödyntäminen täytäntöönpanopuitteissa (karheus)

Suunnittelun keskeiset periaatteet ovat seuraavat:Jokainen vaihe kulkee halvimmalla johtotasolla, joka voi ratkaista sen.Tarkistuslista on lopullinen, ja se on arvioitava ennen mallintamista. Jokaisella hälyttimellä on iso etulinja, jolla ei ole varaa -- se vastaa sitä, että teette rahakkeestanne uuden SIEM-valtuutusmaksun.

Yksi lause:Tiedustelun perustelut, työn toteutus, täytäntöönpanon valvonta.

VII ASOP vs. SOAR vs. AI SOC

• SOARKaikki riippuu sinusta. Juuri niin kuin sanoit. Se ei ole tuomio.
• AI SOCOn hyvä idea mennä klinikalle, lopettaa päätelmien tekeminen, vain SOC, tai miten saat sen valmistajalta.
• ASOP: Cross-domin esiasetettu älykäs elin ohjelma on saatavilla ensimmäisenä päivänä ja voidaan räätälöidä - koska kaksi ympäristöt näyttävät sama

VIII Miten valvonta voidaan varmistaa? Suojakaiteen ja valjaiden välinen ero

Se on teollisen suunnittelun idea, jota kannattaa kopioida.

Suurin osa alan käytänteistä on sitä, että etulinjan mallia käytetään diagnoosien, päätelmien ja vastausten hallintaan, ja rajat on kirjoitettu nopeasti.Mutta nopea taso aita on pohjimmiltaan pyyntö mallin toimia asianmukaisesti.Se voidaan lukea väärin, sivuuttaa tai sanoa noin.

Ja... Harness on alustatason rajoite, jossa älykkyys ei näe, puhu tai syytä.: työkalu roolien alueellistamiseen, karanteenin teloitus, resurssikato, katkaisija. Se toimii mallin mukaisesti, pikaruiskutus ei riitä.

Erona on:Vartija pyytää vain hyvää käytöstä. Harness on sitova.

Blink laittaa sen maahan neljään todennettavissa luottamusmekanismiin:

• Agentti Harness.Kenttätyökalut, erottelu, resurssikatot, katkaisimet, kaikki pakolliset malleissa
• Challenger Patterson: Riippumaton haastaja hyökkäsi jokaisen johtopäätöksen ennen kuin tuomari antaa sen mennä
• Nolla Luotettavuus: älykäs kehon liikkuvuus, holvin avain ja hallittu työnkulku
• Viranomainen: Älykkäisiin elimiin voidaan soveltaa ainoastaan esitarkastettuja ja tarkastettavia taitoja koskevia toimia, eivätkä ne perustu pysyvään viranomaiseen

Valvonta myös jatkuu. Tekoäly opas on antanut yleissopimuksen yhteinen Ally Group suosittelee turvallinen suunnittelu lähestymistapa.Ajattele älykkyyttä epäluotettavana identiteettinä.En tiedä. Käytännön versio on suunnitella älykäs elinidentiteetti ja täydellinen tilintarkastusketju ennen kuin laajentaa autonomiaa, eikä myöhemmin. Tosiasia on, että useimmat organisaatiot eivät ole vielä päässeet tähän pisteeseen - Cloud Safety Alliancen tunnistuskyselyssä vuonna 2026 todettiin, että Yhdysvaltain hallitus ei pysty siihen.Vain 18 prosentilla yrityksistä on suuri luottamus omaan IAM hallita älykkyyttään.En tiedä.

IX. Metrinen muutos.

Jos SOC raportoi yhä, "Kuinka monta hälytystä jokainen analyytikko sulkee luokassaan," mittaat prosessin, jota ei enää ole.

Kohde on Kuulutukset Käänny Autonomiset ja inhimilliset päätöslauselmatEn tiedä. Kysymys kuuluu kuinka monta kertaa sammutamme hälytyksen ja kuinka monta kertaa korjaamme sen.

Tämä indikaattori on epämukava, koska se paljastaa aukon. Se on kuitenkin myös ainoa indikaattori, joka voi yhdistää turvalliset käyttöpanokset ja turvallisuustulokset.

Miten purkaa: polku kypsyyteen

Älä käytä kytkintä, se on polku:

Artisanal Automation AI Älykkään johtamisen ja itsetoiminnan hyväksymiskehys

Luottamus ansaitaan, ei palkitaan. Alkaen siitä, missä jakeluverkon taakka on raskain, koska luottamus on rakennettu vähitellen, sitten samaa alustaa käytetään seuraavalla alalla .

Muista:Kyseessä on ihmisen, prosessin ja teknologian muutos, ei hankinta.

XI. MITEN ASSOP

Älä tuijota toiminnallista listaa. Yhdeksän tarkastuspistettä:

• Täysi suljettu ympyrä: kuuleminen, tutkinta, vastaus, ei johtopäätös ja toimittaminen
• Raja-alueSoc, IAM, VM, GRC, pilviturvallisuus, ei vain SOC
• Valmistajan puolueettomuus ja integraation laajuus: Pystyt vastaamaan työkaluja sinulla on jo, ei lukita teknologia holvi
• Esiasetettu ja muokattavissa: On suunnitelma ensimmäisenä päivänä ja se voi muuttua, ei musta laatikko
• Omistuksen valvonta: Itsenäisyyden tasot asetetaan rutiininomaisesti, mukautetaan luottamusta kasvua
• Oletushenkilö kehässä: Korkeariskiset toimet, jotka ovat hyväksynnän mukaan avoinna
• Tarkastetut todisteet: Jokainen päätös ja toimi voidaan tarkistaa ja viedä tarkastettavaksi
• Testit ovat kantaman sisällä.: Muokattu, katettu sokeat alueet, validoitu, palannut virtaus tuloksia - mutta alusta ei teeskennellä, että se on testausmoottori
• Käyttönopeus: Muutama päivä todellisia tuloksia, ei pitkän aikavälin hanke

Mikä on todellinen vaikutus?

Blink antoi kaksi julkista asiaa (valmistustiedot, ks.):

• IHMISTURVALLISUUS: 123 uhkaa metsästää tiedusteluelimiä, joista 11 vaati manuaalista tarkastelua, joista 2 oli todellisia löytöjä, jotka vaativat laastaria, ja älykkäät elimet pelastivat joukkueita yli 100 tuntia manuaalista työtä
• Maailmanlaajuinen vakuutusyhtiö.: Älykkäiden elinten työvirta laajeni 5:stä 30:een ja hälytysten resoluutioaika 15 minuuttia 1 minuuttiin. Tässä. Sisäinen

Blink väittää, että on 30000+integraattori, 500+esitetty äly-kehomalleja, jotka rahoittavat yli 100 miljoonaa dollaria. Näissä luvuissa on valmistajan asema, mutta suunta on selvä:Tuloksena ei ole koskaan ollut, kuinka monta hälytystä on sammutettu, mutta kuinka monta ongelmaa on korjattu.

Loppujen lopuksi: paradigmamuutto

Siemen aikakausi ratkaisee "katso," SOAR-aika ratkaisee "täytäntöönpanokelpoinen" ja tekoälyn SOC-aika ratkaisee "tuomion." Ja ASOP yrittää ratkaista viimeisen linkin:Tehdään tuomiosta suljettu ympyrä, jolloin toiminta todella laskeutuu.

Se on arvokkaampi kuin muutama älykäs keho.Turvallisen toiminnan painopisteen siirtäminen "datasta" "työvirtaan"En tiedä. Kuka tahansa on korjausvirta, on tulokset ... lause seuraavien viiden vuoden aikana voi olla tärkeämpi kuin mikään tekninen yksityiskohta.

Älkää eksykö konseptissa. Valmistaja ehdottaa ASOP:a, jonka määrittelee valmistaja (BlinkOps, Elastic, Optiv, SEC1, kaikki tähän suuntaan), ja standardit ja rajat ovat edelleen kunnossa. Tuomion todellinen perusta on yksinkertainen:Voisiko tiimisi hoitaa ongelman?

AI SOC antaa sinulle johtopäätöksen, ASOP auttaa sinua muuttamaan sen korjata.

Reference: BrinkOps, What is an Agency Security Operations Program, Elastic Smart Operating Definition, Optiv / SEC1 ASOP Program, CISA Smart Body AI Guide, 2026 Cloud Safety Union Identity Survey