SOC की अगली पीढ़ी इसे कैसे बनाया जाए: AAFO (Agentic Security Operations)

SOC (Security Operations Center) शब्द एक ऐसा शब्द है जो सुरक्षित व्यक्ति के रूप में परिचित नहीं है। लेकिन यह दो वर्षों में थोड़ा अजीब है: SIEM लॉग एकत्र करता है, EDR टर्मिनलों को कैप्चर करता है, AI SOC आपको अलर्ट के साथ मदद करता है - प्रत्येक रिंग को स्मार्ट हो रहा है, और अधिक पुलिस लाइन स्पष्ट है, अधिक लोग काम करते हैं।

इसलिए उद्योग में एक नई अवधारणा उभरी:ASOP (Agentic Security Operations प्लेटफॉर्म, स्मार्ट बॉडी सिक्योर ऑपरेटिंग प्लेटफॉर्म)मैं नहीं जानता हूँ। यह एक अन्य SOC उत्पाद नहीं है, बल्कि एक अलग कोण है। यह लेख स्पष्ट करता है: यह क्या है, और यह कहाँ है, यह कैसे उतरा, इसे खरीदने से पहले क्या करना चाहिए।

I. PREPARED CONTEXT: ASO एक परिचालन मॉडल है

ASO (Agentic Security Operations, Smart Operators)व्यापार मॉडल: एआई के स्मार्ट बॉडी और निश्चित वर्कफ़्लो को सिग्नल से रिज़ॉल्यूशन तक सुरक्षित रूप से काम करने के लिए एक साथ काम करते हैं।

ध्यान दें, न केवल SOC अलार्म। पहचान अनुरोध, उल्लंघन का पता लगाने, अनुपालन फोरेंसिक, क्लाउड कॉन्फ़िगरेशन त्रुटि -कोई भी काम जो आज मैनुअल कतार में गिर जाएगा।व्यक्ति स्वायत्तता के स्तर को निर्धारित करने और हमेशा नियंत्रण बनाए रखने के लिए जिम्मेदार है।

इस पैटर्न को चलाने का मंच ASOP है। यह सुरक्षित है।नियंत्रण विमानइसके आसपास एक एकीकृत, कार्यप्रवाह, खुफिया, मामला और प्रशासन तंत्र है।

द्वितीय। "Intellectual" और "workstream" अलग हैं, लेकिन दोनों

यह एक महत्वपूर्ण अंतर है। कई भ्रम हैं:

एआई स्मार्ट बॉडी: वर्तमान स्थिति को देखें, उद्देश्य तर्क की दिशा में आगे बढ़ें, और आपके द्वारा अनुमोदित उपकरणों के माध्यम से कार्य करें। यह सिर्फ क्या पाया पर आधारित है।
कार्यप्रवाहहमेशा वही कदम चल रहा है, वास्तव में आपने उसे क्या बताया।

उन दोनों, और उनमें से एक, "जहां हर लिंक की अनुमति है" अनुशासन की जरूरत है। यही कारण है कि इसका मतलब विमान को नियंत्रित करना है।

III एक ग्राफ जो ASO सीमा को समझता है

बाएं से दाएं एक स्पेक्ट्रम के रूप में सुरक्षित संचालन की कल्पना करें:

बाएंडेटा नाली, लॉग ingestion, अपघटन, भंडारण - SIEM क्षेत्र
केंद्र• परीक्षण, रेफरल, जांच
अधिकाररिकवरी, रोकथाम, वसूली और प्रतिक्रिया लूप परीक्षण के लिए वापस बहने

एआई एसओसी केवल मध्य को कवर करता है।यह अलार्म डेटा, तर्क को पढ़ता है और आपको एक निष्कर्ष देता है। इसे लिखने की अनुमति की आवश्यकता नहीं है - यही कारण है कि यह बनाना आसान है, हर कोई इसे बना रहा है, और यह वहां रुक जाता है। एक प्रणाली का परिणाम जो केवल इंजनों को समाप्त करता है और लोगों की मरम्मत करता है, यह था कि अलार्म तेजी से बंद हो गया था, लेकिन बैकलॉग उस उच्च स्थान पर रहा।

ASO ओवरराइट मिड-टू-राइटउस समय से अलार्म उस समय तक शुरू हो जाता है जब समस्या वास्तव में तय हो जाती है। यह परीक्षण के लिए बाईं ओर भी फैलता है - परीक्षण चलाने के लिए नहीं (जो SIEM / EDR / लॉग सुरक्षा उपकरण का काम भी करता है), लेकिन परिधि को पता लगाने के लिए: नियमों का गलत रिपोर्टिंग, अंधा क्षेत्रों की खोज, यह सत्यापित करना कि पर्यावरणीय परिवर्तनों के बाद परीक्षण अभी भी प्रभावी है और नियमों में फिर से रूटिंग निष्कर्षों का परीक्षण किया गया है।

वहाँ एक अच्छा है:एक नियम को पिछले महीने 847 बार ट्रिगर किया गया था, 812 बार स्वचालित रूप से।- यह खुद में बात कर रहा है। यह वह प्रणाली है जो इन परिणामों के डेटा को पकड़ती है जो इस जानकारी पर कार्य कर सकती है।

एक वाक्य तीन उपकरणों के बीच अंतर को संक्षेप में प्रस्तुत करता है:जिन उपकरणों को केवल देखा जा सकता है वे कार्य नहीं कर सकते हैं, वे उपकरण जो केवल कार्य कर सकते हैं, उन्हें तर्क नहीं दिया जा सकता है।

IV. WHY “कंट्रोल प्लेन”

पिछले 10 वर्षों में,डेटा ग्रेविटी: एकाग्रता टेलीमेट्री, दृश्यता, अंतर्दृष्टि। यह तर्क तब तक काम करता है जब तक डेटा की मात्रा विश्लेषणात्मक क्षमता से अधिक न हो।

अगले 10 वर्षों का अनुसरण करेगाकार्यप्रवाह ग्रेविटीकौन है मरम्मत प्रवाह, उसका परिणाम है। ऑपरेशन की दृश्यता की कमी एक महंगी निगरानी लागत है।

यह एक प्रतिवादी घटना बताता है:एआई ने कार्यभार को कम नहीं किया। यह सिर्फ नौकरी चला गया।मुझे नहीं पता।

एआई से पहले, कतार मानव क्षमता तक सीमित था, इसलिए कम जोखिम वाले अलर्ट को दबा दिया गया था और परीक्षण की पूरी श्रृंखला बंद हो गई थी। एआई ने छत ली, और यह सिर्फ दस बार चला गया, यहां तक कि एक छोटी पदोन्नति दर भी, अतीत की तुलना में कई बार मैनुअल निर्णय लेने का मतलब है। मशीन प्रक्रिया की मात्रा को अवशोषित करती है, न कि निर्णय। नए प्रतिबंध को बुलाया जाता है MTTD (Mean Time to फैसले, औसत निर्णय समय)मुझे नहीं पता।

निर्णय लेने वाले कतार केवल तभी खाली होते हैं जब वास्तव में कार्य करने के लिए कुछ होता है। यही बात नियंत्रण विमान है।

VHY नहीं जस्ट SOC

यह ASO एक मंच बनाता है, एक प्लास्टिक SOC उपकरण नहीं।

प्रत्येक स्मार्ट बॉडी सुरक्षा कार्यक्रम की जरूरत है:लिखित प्राधिकरण के साथ एकीकरण, संगठन, केस ट्रैकिंग, मैनुअल अनुमोदन सहयोग, शासन और लेखा परीक्षामुझे नहीं पता। एआई एसओसी की जरूरत है, स्मार्ट बॉडी लूपहोल प्रबंधन की जरूरत है, स्मार्ट आईएएम, क्लाउड सुरक्षा, जीआरसी, एप्प्सेक, खतरे का शिकार, पता लगाने का काम - सभी को समान आधार की आवश्यकता होती है।

एक ही बुनियादी ढांचे के पांच पुनर्निर्माण की राशि अलग खरीद: पांच लेखा परीक्षा श्रृंखला, पांच अनुमोदन धाराओं और पांच चीजें जो अनुपालन टीम को सिरदर्द देती हैं। एक ASOP पर चला जाता है, और संदर्भ पारस्परिक है - संपत्ति, जोखिम, पहचान, मामला इतिहास सभी एक ही स्थान पर हैं, हर खुफिया को खिलाते हैं।

यह "सुरक्षा कार्य स्मार्ट" का वास्तविक अर्थ है:प्रत्येक कार्य में शीर्ष पर एक स्मार्ट बॉडी नहीं है, बल्कि एक कंट्रोल प्लेन, जिसे एक स्मार्ट बॉडी की आवश्यकता होती है जब प्रेरित होता है, और एक निश्चित वर्कफ़्लो होता है।

VI। कैसे ASOP काम करता है: SUDA पाश

Blink के मामले में, यह SUDA चक्र चलाता है-देखें (देखें), Underwood (understand), Decide (decision-making), Act (action)प्रत्येक चरण में शासन और मानव नियंत्रण होता है।

देखेंएक प्रौद्योगिकी गोदाम में किसी भी उपकरण से संकेत की जांच
अंडरवुड: वापसी इकाई, eutrophication, deweighting, एसोसिएशन
निर्णय: निष्कर्ष, गंभीरता और जोखिम के आकलन, कार्रवाई के लिए सिफारिशें
अधिनियम: रोकथाम, उन्मूलन, वसूली, कार्यान्वयन ढांचे (हार्नेस) द्वारा लागू

मुख्य डिजाइन सिद्धांत हैं:प्रत्येक चरण सबसे सस्ता कार्यकारी मंजिल पर चलता है जो इसे हल कर सकता है।चेकलिस्ट निश्चित है और इसे मॉडल करने से पहले निर्णय लेने की आवश्यकता है। हर अलार्म एक फ्रंट-लाइन बड़ा मॉडल चलाता है जो वह बर्दाश्त नहीं कर सकता - यह आपके टोकन बिल को एक नए SIEM प्राधिकरण शुल्क में बदलने के बराबर है।

एक वाक्य:खुफिया तर्क, कार्य धारा निष्पादन, प्रवर्तन रूपरेखा प्रवर्तन।

VII ASOP बनाम SOAR बनाम AI SOC

SOARयह सब तुम्हारे ऊपर है। यह वही है जिसे आपने बताया था। यह निर्णय नहीं है।
एआई एसओसीयह क्लिनिक जाने का एक अच्छा विचार है, ड्राइंग निष्कर्ष बंद करो, सिर्फ SOC, या जिस तरह से आप इसे निर्माता से प्राप्त करते हैं।
ASOP: एक क्रॉस-डोमेन प्रीसेट स्मार्ट बॉडी प्रोग्राम पहले दिन उपलब्ध है और इसे अनुकूलित किया जा सकता है - क्योंकि दो वातावरण समान नहीं दिखते हैं

VIII कैसे नियंत्रित किया जा सकता है? रेलिंग और दोहन के बीच अंतर

यह पूरे औद्योगिक डिजाइन विचार है कि मुझे लगता है कि नकल के लायक है।

उद्योग में अधिकांश प्रथाएं हैं कि निदान, निष्कर्षों और प्रतिक्रियाओं का प्रबंधन करने के लिए फ्रंट-लाइन मॉडल का उपयोग किया जाता है, और सीमाओं को तुरंत लिखा जाता है।लेकिन तत्काल स्तर की बाड़ अनिवार्य रूप से एक मॉडल के लिए एक अनुरोध ठीक से प्रदर्शन करने के लिए है।- यह गलत हो सकता है, अनदेखा कर सकता है या उसके आसपास कह सकता है।

और... हार्नेस एक मंच स्तर की बाधा है जहां खुफिया नहीं देख सकते हैं, बात या कारण।: भूमिका क्षेत्रीयकरण, संगरोध निष्पादन, संसाधन टोपी, ब्रेकर के लिए उपकरण। यह मॉडल के तहत चलता है, तुरंत पर्याप्त इंजेक्शन नहीं किया जा सकता है।

अंतर है:रेलिंग सिर्फ अच्छे व्यवहार के लिए पूछ रही है, हार्नेस बाध्यकारी है।

ब्लिंक ने इसे जमीन पर चार सत्यापित ट्रस्ट तंत्रों में डाल दिया:

एजेंट हार्नेस।फील्ड टूल, अलगाव, संसाधन कैप, ब्रेकर, मॉडल के तहत सभी अनिवार्य
चैलेंजर पैटरसन: एक स्वतंत्र चुनौती देने वाले ने हर निष्कर्ष पर हमला करने से पहले एडजुडिकेटर इसे जाने देता है
शून्य क्रेडेंशियल एक्सपोजर: स्मार्ट बॉडी गतिशीलता, वॉल्ट और नियंत्रित वर्कफ़्लो द्वारा आयोजित कुंजी
प्राधिकरण: स्मार्ट बॉडी केवल प्री-स्क्रीन, ऑडिटेबल कौशल एक्शन के अधीन हो सकती है और स्टैंडिंग अथॉरिटी पर आधारित नहीं हैं।

निगरानी भी रखी जा रही है। सीआईएसए संयुक्त मित्र समूह द्वारा जारी एआई गाइड एक सुरक्षित डिजाइन दृष्टिकोण की सिफारिश करता है।एक अविश्वसनीय पहचान के रूप में खुफिया के बारे में सोचना, न्यूनतम विशेषाधिकार देना।मुझे नहीं पता। व्यावहारिक संस्करण बाद में स्वायत्तता का विस्तार करने से पहले स्मार्ट बॉडी पहचान और पूर्ण ऑडिट श्रृंखला की योजना बनाना है। वास्तविकता यह है कि अधिकांश संगठन अभी तक इस बिंदु पर नहीं पहुंच चुके हैं - 2026 में क्लाउड सेफ्टी एलायंस का एक पहचान सर्वेक्षण पाया गया कि अमेरिकी सरकार ऐसा करने की स्थिति में नहीं है।केवल 18 प्रतिशत कंपनियों में अपनी बुद्धिमत्ता का प्रबंधन करने के लिए अपने स्वयं के आईएएम में विश्वास का उच्च स्तर है।मुझे नहीं पता।

IX मेट्रिक्स परिवर्तन।

और यदि आपका SOC अभी भी रिपोर्टिंग कर रहा है, तो "हर विश्लेषक ने अपनी कक्षा में कितने अलार्म बंद कर दिए हैं" आप एक ऐसी प्रक्रिया को मापते हैं जो अब मौजूद नहीं है।

लक्ष्य से है चेतावनी बारी स्वायत्त और मानव पर लोड संकल्पमुझे नहीं पता। प्रश्न "कई बार हम अलार्म बंद कर देते हैं" से "कई बार हम इसे ठीक करते हैं।

यह सूचक असहज है क्योंकि यह अंतर को उजागर करता है। लेकिन यह एकमात्र सूचक भी है जो सुरक्षित परिचालन इनपुट और सुरक्षा परिणामों को जोड़ सकता है।

भूमि कैसे: परिपक्वता का एक रास्ता

एक स्विच का प्रयोग न करें, यह एक पथ है:

आर्टिसनल ऑटोमेशन एआई सहायक स्मार्ट लीडरशिप और स्वीकृति फ्रेमवर्क फॉर सेल्फ ऑपरेशन

ट्रस्ट अर्जित किया जाता है, सम्मानित नहीं किया जाता है। जहां से डिस्पेंसरी का बोझ सबसे भारी होता है, जैसा कि ट्रस्ट धीरे-धीरे बनाया जाता है, फिर अगले क्षेत्र में एक ही मंच का उपयोग किया जाता है - एकीकरण, केस प्रबंधन, अनुमोदन प्रवाह, लेखा परीक्षा श्रृंखला - यही कारण है कि इसका मतलब "प्लेटफॉर्म पर करो" है।

याद रखें:यह एक मानव, प्रक्रिया और प्रौद्योगिकी बदलाव है, एक खरीद अभ्यास नहीं है।

XI. कैसे ASSOP

नियंत्रण और कवरेज पर कार्यात्मक सूची में अभिनय न करें। निरीक्षण के नौ अंक:

पूर्ण बंद सर्कल: परामर्श, जांच, प्रतिक्रिया, निष्कर्ष और संचरण नहीं
क्रॉस डोमेनSoc, IAM, VM, GRC, क्लाउड सुरक्षा, सिर्फ SOC नहीं
विक्रेता तटस्थता और एकीकरण चौड़ाई: पहले से ही आपके पास मौजूद उपकरण से मिलान करने में सक्षम रहें, प्रौद्योगिकी वॉल्ट को लॉक न करें
पूर्व निर्धारित और अनुकूलन: पहले दिन पर एक योजना है और यह बदल सकता है, एक ब्लैक बॉक्स नहीं
स्वामित्व नियंत्रण: स्वायत्तता का स्तर नियमित रूप से सेट किया जाता है, ट्रस्ट ग्रोथ के लिए समायोजित किया जाता है
रिंग में डिफ़ॉल्ट व्यक्ति: उच्च जोखिम संचालन अनुमोदन के साथ खुला
लेखापरीक्षित, सबूत उपलब्धप्रत्येक निर्णय और कार्रवाई की समीक्षा की जा सकती है और लेखा परीक्षा के लिए निर्यात की जा सकती है
टेस्ट कार्य सीमा में हैं।: संशोधित, कवर किया गया अंधा क्षेत्र, मान्य, परिणाम का प्रवाह लौटा - लेकिन मंच यह नहीं दर्शाता है कि यह एक परीक्षण इंजन है
तैनाती की गतिवास्तविक परिणामों के कुछ दिन, एक दीर्घकालिक परियोजना नहीं

वास्तविक प्रभाव क्या है?

ब्लिंक ने दो सार्वजनिक मामलों (निर्माण डेटा, संदर्भित करने के लिए):

मानव सुरक्षा123 ने शिकार खुफिया निकायों को धमकी दी, जिनमें से 11 को मैनुअल समीक्षा की आवश्यकता थी, जिनमें से 2 वास्तविक खोजों को पैच की आवश्यकता थी, और बुद्धिमान निकायों ने मैन्युअल काम के 100 घंटे से अधिक टीमों को बचाया
वैश्विक बीमा कंपनी: बुद्धिमान निकायों का कार्य प्रवाह 5 से 30 + और अलार्म के संकल्प के समय तक विस्तारित हुआ 15 मिनट से 1 मिनट। यहाँ आंतरिक

ब्लिंक का दावा है कि इसमें 30,000+एक्टेटर, 500+प्रीसेट स्मार्ट बॉडी टेम्प्लेट हैं जो $100 मिलियन से अधिक वित्तपोषित हैं। ये आंकड़े निर्माता की स्थिति रखते हैं, लेकिन दिशा स्पष्ट है:परिणाम कभी नहीं था "कहा कई अलार्म बंद कर दिया गया है" लेकिन "कहा कई समस्याओं को तय किया गया है".

अंत में: एक प्रतिमान प्रवासन

वापस देखते हुए, SIEM युग "देखें" को हल करता है, "सौर युग" को हल करता है और AI SOC युग "judgment" को हल करता है। और ASOP अंतिम लिंक को हल करने की कोशिश कर रहा है:निर्णय को बंद सर्कल में बदलना, वास्तव में कार्रवाई की अनुमति देना।

यह कुछ बुद्धिमान निकायों से अधिक है।"डेटा" से "workstream" तक सुरक्षित संचालन का ध्यान केंद्रित करनामुझे नहीं पता। जो भी मरम्मत प्रवाह है, परिणाम है - अगले पांच वर्षों में वाक्यांश किसी भी तकनीकी विस्तार से अधिक महत्वपूर्ण हो सकता है।

बेशक, अवधारणा में खो नहीं पाते। ASOP वर्तमान में निर्माता द्वारा प्रस्तावित है और निर्माता (BlinkOps, लोचदार, Optiv, SEC1, सभी इस दिशा में) द्वारा परिभाषित किया गया है। निर्णय का वास्तविक आधार सरल है:क्या यह आपकी टीम "कॉल ऑफ़ पुलिस" से बाहर हो सकती है और वास्तविक समस्या को ठीक कर सकती है?

AI SOC आपको एक निष्कर्ष देता है, ASOP आपको इसे ठीक करने में मदद करता है।

संदर्भ: BrinkOps, क्या एक एजेंसी सुरक्षा संचालन कार्यक्रम है, लोचदार स्मार्ट ऑपरेटिंग परिभाषा, Optiv / SEC1 ASOP कार्यक्रम, CISA स्मार्ट बॉडी AI गाइड, 2026 क्लाउड सेफ्टी यूनियन पहचान सर्वेक्षण