La prochaine génération de SOC comment la construire : AAFO (Opérations de Sécurité Agentique)

Le terme SOC (Centre des opérations de sécurité) est un terme que personne ne connaît en tant que personne sécuritaire. Mais c'est un peu gênant dans les deux ans : SIEM collecte des journaux, des terminaux de capture EDR, AI SOC vous aide avec les alertes -- chaque anneau devient plus intelligent, et plus la ligne de police est claire, plus les gens travaillent.

Un nouveau concept est donc apparu dans l'industrie :ASOP (plate-forme d'opérations de sécurité d'agents, plate-forme d'exploitation de Smart Body Secure)Je ne sais pas. Ce n'est pas un autre produit SOC, mais un angle différent. Cet article le précise: ce qu'il est, et où il est, comment il a atterri, ce qu'il devrait demander avant de l'acheter.

I. CONTEXTE PRÉPARÉ: ASO est un modèle opérationnel

ASO (Opérations de sécurité des agents, opérateurs intelligents)Modèle d'entreprise: laissez le corps intelligent d'IA et le flux de travail définitif travailler ensemble pour travailler en toute sécurité du signal à la résolution.

Attention, pas seulement l'alarme SOC. Demande d'identité, détection de brèche, police judiciaire de conformité, erreur de configuration du cloud -Tout travail qui tombera dans la file d'attente manuelle aujourd'hui.. La personne est responsable de fixer le niveau d'autonomie et de garder toujours le contrôle.

La plate-forme pour exécuter ce modèle est ASOP. C'est sûr.Plan de contrôleIl dispose d'un mécanisme intégré, de flux de travail, de renseignements, de cas et de gouvernance.

II. "Intellectual" et "workstream" sont différents, mais les deux

C'est une distinction cruciale. Il y a beaucoup de confusion :

• Corps intelligent d'IA: Regardez la situation actuelle, avancez vers un raisonnement objectif et agissez à travers les outils que vous avez approuvés. C'est basé sur ce qu'il vient de trouver.
• Secteur de travailToujours en suivant les mêmes pas, exactement ce que tu lui as dit.

Tous les deux, et l'un d'eux, doivent être disciplinés où chaque lien est permis. C'est ça, le contrôle de l'avion.

III. Un graphique qui comprend la limite ASO

Imaginez un fonctionnement sûr comme un spectre de gauche à droite:

• À gaucheCanalisation de données, ingestion de logs, décomposition, stockage - territoire SIEM
• Centre• Tests, renvois, enquêtes
• DroiteLes boucles de récupération, de confinement, de récupération et de rétroaction reviennent aux tests

AI SOC ne couvre que le milieu.Il lit les données d'alarme, le raisonnement, et vous donne une conclusion. Il n'a pas besoin de permission pour écrire — c'est pourquoi il est facile de construire, tout le monde le fait, et il s'arrête là. Le résultat d'un système qui a seulement terminé les moteurs et réparé les gens, était que les alarmes ont été fermées plus rapidement, mais l'arriéré est resté aussi élevé.

ASO écraser mi-à-droiteC'est-à-dire, du moment où l'alarme est déclenchée au moment où le problème est vraiment corrigé. Il s'étend aussi à gauche pour les tests - non pas pour les tests en cours (qui est également le travail des outils de sécurité SIEM/EDR/Log), mais pour le fonctionnement des périmètres pour détecter: la déclaration erronée des règles, la recherche de zones aveugles, la vérification de l'efficacité des tests après les changements environnementaux et le réacheminement des résultats dans les règles.

Il y en a une bonne :Une règle a été déclenchée 847 fois le mois dernier, 812 fois automatiquement.- Ça parle en soi. Ce sont les systèmes qui détiennent ces données de résultats qui peuvent agir sur cette information.

Une phrase résume la différence entre trois outils :Les outils qui ne peuvent être vus que ne peuvent pas agir, les instruments qui ne peuvent agir que ne peuvent pas être raisonnés, et les instruments qui ne peuvent être raisonnés sont sans cerveau.

IV. POURQUOI

Au cours des 10 dernières années,Gravité des données: télémétrie de concentration, visibilité, perspicacité. Cette logique a fonctionné jusqu'à ce que la quantité de données dépasse la capacité analytique.

Les 10 prochaines années suivrontGravité du flux de travail: Quiconque a le flux de réparation, il a le résultat. Le manque de visibilité de l'opération est un coût de surveillance coûteux.

Ceci explique un phénomène contre-intuitif:AI, l'affectation n'a pas réduit la charge de travail. Ça vient de bouger le boulot.Je ne sais pas.

Avant l'IA, la file d'attente était limitée à la capacité humaine, de sorte que les alertes à faible risque étaient supprimées et que toute la gamme des tests était fermée. AI a pris le plafond, et il vient de monter -- dix fois, même un faible taux de promotion, signifie beaucoup de fois plus de prise de décision manuelle que par le passé. La machine absorbe la quantité de processus, pas le jugement. La nouvelle contrainte s'appelle MTTD (Délai moyen de décision, délai moyen de décision)Je ne sais pas.

Les files d'attente décisionnelles ne sont vides que lorsqu'il y a quelque chose à faire. C'est le plan de contrôle.

V. POURQUOI PAS SEULEMENT SOC

Cela fait d'ASO une plateforme, pas un outil en plastique SOC.

Découvrez ce dont chaque programme de sécurité du corps intelligent a besoin :Intégration, organisation, suivi des cas, collaboration à l'approbation manuelle, gouvernance et vérification avec autorisation écriteJe ne sais pas. AI SOC a besoin, besoin de gestion intelligente des failles corporelles, IAM intelligente, sécurité du cloud, GRC, AppSec, chasse aux menaces, travail de détection - tous ont besoin de la même base.

Les achats distincts représentent cinq reconstructions de la même infrastructure : cinq chaînes de vérification, cinq volets d'approbation et cinq choses qui donnent à l'équipe de conformité un mal de tête. Fonctionne sur un ASOP, et le contexte est réciproque - les actifs, l'exposition, l'identité, l'historique des cas sont tous en un seul endroit, alimentant chaque renseignement.

C'est le sens réel de « rendre la sécurité efficace » :Chaque tâche n'a pas un corps intelligent en haut, mais un plan de contrôle, qui a besoin d'un corps intelligent lorsqu'on en déduit, et un flux de travail défini.

VI. Comment fonctionne ASOP : boucle SUDA

Dans le cas de Blink, il exécute le cycle SUDA...Voir (voir), Underwood (comprendre), Décider (prise de décision), Loi (action)Chaque étape de la façon dont il y a gouvernance et contrôle humain.

• Voir: Ingestion d'un signal de tout outil dans un entrepôt technologique
• Sous-bois: entité de retrait, eutrophisation, dépondération, association
• DéciderConclusions, évaluations de la gravité et des risques, recommandations d'action
• Loi: confinement, éradication, récupération, imposée par le cadre de mise en œuvre (harcèlement)

Les principes fondamentaux de conception sont les suivants:Chaque étape fonctionne sur le plancher exécutif le moins cher qui peut le résoudre.La liste de contrôle est définitive et doit être jugée avant d'être modélisée. Chaque alarme lance un grand modèle de ligne de front qui ne peut pas se permettre -- il est équivalent à transformer votre facture de jeton en un nouveau frais d'autorisation SIEM.

Une phrase:Raisonnement du renseignement, exécution du flux de travail, exécution du cadre d'application.

VII. ASOP vs SOAR vs AI SOC

• SOARTout dépend de toi. C'est exactement ce que tu lui as dit. Ce n'est pas un jugement.
• AI SOCC'est une bonne idée d'aller à la clinique, d'arrêter de tirer des conclusions, juste SOC, ou la façon dont vous l'obtenez du fabricant.
• A partir de: Un programme de corps intelligent préréglé est disponible le premier jour et peut être personnalisé - parce que pas deux environnements ressemblent

VIII. Comment assurer le contrôle? La différence entre garde-corps et harnais

C'est toute l'idée du design industriel qui mérite d'être copiée.

La plupart des pratiques dans l'industrie sont qu'un modèle de première ligne est utilisé pour gérer le diagnostic, les conclusions et les réponses, et les limites sont écrites rapidement.Mais la clôture de niveau rapide est essentiellement une demande pour qu'un modèle fonctionne correctement.— Il peut être mal lu, ignoré ou dit autour.

Et... Harness est une contrainte au niveau de la plate-forme où l'intelligence ne peut voir, parler ou raisonner.: outil de territorialisation des rôles, exécution de quarantaine, plafond de ressources, disjoncteur. Il fonctionne sous le modèle, prompt ne peut pas être injecté assez.

La différence est:Guardrail demande juste un bon comportement, Harness est lié.

Blink le met sur le terrain en quatre mécanismes de confiance vérifiables:

• Agent Harness.Outils de terrain, séparation, plafonds de ressources, disjoncteurs, tous obligatoires selon les modèles
• Le défieur Patterson: Un contesteur indépendant a attaqué chaque conclusion avant que l'arbitre ne la laisse partir
• Exposition à des titres de créance zéro: mobilité du corps intelligent, clé tenue par le coffre-fort et flux de travail contrôlé
• Autorité non Autorité: Les corps intelligents ne peuvent être soumis qu'à une action de compétences pré-examinées et vérifiables et ne reposent pas sur une autorité permanente

La surveillance se poursuit également. Le Guide AI publié par le Groupe mixte d'alliage de la CISA recommande une approche de conception sécuritaire.Pensez à l'intelligence comme une identité indigne de confiance, donnant des privilèges minimes.Je ne sais pas. La version pratique est de planifier l'identité du corps intelligent et compléter la chaîne d'audit avant d'élargir l'autonomie, plutôt que plus tard. La réalité est que la plupart des organisations n'ont pas encore atteint ce point - une enquête d'identification de la Cloud Safety Alliance en 2026 a révélé que le gouvernement américain n'est pas en mesure de le faire.Seulement 18 pour cent des entreprises ont un haut niveau de confiance dans leur propre IAM pour gérer leur identité de renseignement.Je ne sais pas.

IX. Les mesures changent.

Et si votre SOC rapporte toujours, "Combien d'alarmes chaque analyste ferme dans sa classe", vous mesurez un processus qui n'existe plus.

La cible est de Alertes Triées Tourner Résolutions autonomes et sur le terrainJe ne sais pas. La question va de combien de fois nous éteignons l'alarme à combien de fois nous le réparons.

Cet indicateur est inconfortable car il expose l'écart. Mais c'est aussi le seul indicateur qui peut relier des intrants opérationnels sûrs et des résultats en matière de sécurité.

Comment atterrir : un chemin vers la maturité

Utilisez pas un interrupteur, c'est un chemin:

Automatisation artisanale AI Smart Leadership et cadre d'approbation pour l'auto-exploitation

La confiance est gagnée, pas accordée. À partir de l'endroit où le fardeau des dispensaires est le plus lourd, car la confiance est construite progressivement, alors la même plate-forme est utilisée dans le domaine suivant - intégration, gestion de cas, flux d'approbation, chaîne d'audit - c'est ce que signifie faire sur la plate-forme.

Rappelez-vous :Il s'agit d'un changement humain, de processus et de technologie, et non d'un exercice d'approvisionnement.

XI. COMMENT PRENDRE

Ne regardez pas la liste fonctionnelle, au contrôle et à la couverture. Neuf points d'inspection:

• Plein cercle fermé: consultation, enquête, réponse, non conclusion et transmission
• Domaine transversalSoc, IAM, VM, GRC, sécurité du cloud, pas seulement SOC
• Neutralité et intégration des fournisseurs: Être en mesure de correspondre aux outils que vous avez déjà, pas verrouiller la chambre forte technologique
• Préréglage et personnalisable: Il y a un plan le premier jour et il peut changer, pas une boîte noire
• Contrôle de la propriété: Les niveaux d'autonomie sont régulièrement fixés, ajustés pour la croissance de confiance
• Personne par défaut dans l'anneau: Opérations à haut risque ouvertes avec approbation
• Vérification, éléments de preuve disponibles: Chaque décision et action peut être examinée et exportée pour vérification
• Les essais sont à portée.: Modifié, zones aveugles couvertes, validé, retour des résultats - mais la plate-forme ne prétend pas être un moteur d'essai
• Vitesse de déploiement: Quelques jours de résultats réels, pas un projet à long terme

Quel est le véritable effet ?

Blink a présenté deux affaires publiques (données de fabrication, voir :

• Sécurité humaine: 123 corps de renseignement de chasse menacés, dont 11 nécessitant un examen manuel, dont 2 découvertes réelles nécessitant des patchs, et des corps intelligents ont sauvé les équipes plus de 100 heures de travail manuel
• Une compagnie d'assurance mondiale.: flux de travail des corps intelligents élargi de 5 à 30 + et temps de résolution des alarmes 15 à 1 minute. Ici. Interne

Blink prétend avoir 30 000+intégrateur, 500+préset smart-body modèles qui financent plus de 100 millions de dollars. Ces chiffres portent la position du constructeur, mais la direction est claire:Le résultat n'a jamais été le nombre d'alarmes désactivées, mais le nombre de problèmes corrigés.

À la fin : une migration par paradigme

En retour, l'ère SIEM résout "voir", l'ère SOAR résout "enforceable" et l'ère AI SOC résout "jugement". Et ASOP essaie de résoudre le dernier lien :Transformer le jugement en un cercle fermé, permettant à l'action de vraiment atterrir.

Ça vaut plus que quelques corps intelligents.Transférer l'accent sur la sécurité de l'exploitation des « données » au « flux de travail »Je ne sais pas. Quiconque a le flux de réparation, a les résultats — la phrase dans les cinq prochaines années peut être plus importante que tout détail technique.

Bien sûr, ne vous perdez pas dans le concept. L'ASOP est actuellement proposé par le fabricant et défini par le fabricant (BlinkOps, Elastic, Optiv, SEC1, tous dans cette direction), et les normes et les limites sont toujours en forme. La base réelle du jugement est simple:Pourrait-il sortir votre équipe de l'appel de la police et résoudre le vrai problème ?

AI SOC vous donne une conclusion, ASOP vous aide à la transformer en une solution.

Référence : BrinkOps, Qu'est-ce qu'un programme d'opérations de sécurité de l'Agence, Définition d'exploitation intelligente élastique, Optiv / SEC1 ASOP Program, CISA Smart Body AI Guide, 2026 Cloud Safety Union Identity Survey