Indonesia

← Kembali ke daftar

Generasi SOC berikutnya bagaimana membangunnya: AAFO (Operasi Keamanan Agentik)

itadol5j

Istilah SOC (Pusat Operasi Keamanan) adalah istilah yang tidak dikenal oleh siapapun sebagai orang yang aman. Tapi ini sedikit canggung dalam dua tahun ini: SIEM mengumpulkan catatan, terminal penangkapan EDR, AI SOC membantu Anda memperingatkan -- setiap cincin semakin pintar, dan semakin banyak garis polisi yang jelas, semakin banyak orang yang bekerja.

Stasiun Operasi Cerdas ASOP

Jadi konsep baru muncul dalam industri:ASOP (Operasi Keamanan Agentik Platform, Smart Body Secure Operating Platform)Aku tidak tahu. Ini bukan produk SOC lain, tapi sudut yang berbeda. Artikel ini membuatnya jelas: apa itu, dan di mana itu, bagaimana ia mendarat, apa yang harus ditanyakan sebelum membelinya.

ASO adalah model operasional

ASO (Operasi Keamanan Agentik, Operator Cerdas)Model bisnis: biarkan Al 's pintar tubuh dan aliran kerja definitif bekerja sama untuk bekerja aman dari sinyal ke resolusi.

Perhatian, bukan hanya alarm SOC. Permintaan identitas, deteksi breach, forensik compliance, kesalahan konfigurasi awan -Setiap pekerjaan yang akan jatuh ke antrian manual hari ini.Orang itu bertanggung jawab untuk mengatur tingkat otonomi dan selalu mempertahankan kendali.

Platform untuk menjalankan pola ini adalah ASOP. Ini aman.Kontrol pesawatMemiliki terintegrasi, aliran kerja, kecerdasan, kasus dan mekanisme pemerintahan di sekitarnya.

II. "Intelectual" dan "workstream" berbeda, tapi keduanya

Ini adalah perbedaan penting. Ada banyak kebingungan:

  • AI Smart BodyLihatlah situasi saat ini, bergerak menuju alasan objektif, dan bertindak melalui alat-alat yang Anda setujui. Hal ini didasarkan pada apa yang baru saja ditemukan.
  • WorkstreamSelalu menjalankan langkah yang sama, persis apa yang Anda katakan kepadanya.

Keduanya, dan salah satu dari mereka, perlu didisiplinkan "di mana setiap hubungan diperbolehkan". Itulah artinya mengendalikan pesawat.

III. Grafik yang memahami batas ASO

Bayangkan operasi aman sebagai spektrum dari kiri ke kanan:

  • Paling KiriSaluran data, gangguan log, dekomposisi, area SIEM
  • PusatPengujian, referensi, penyelidikan
  • KananPemulihan, penahanan, pemulihan dan umpan balik loop mengalir kembali ke pengujian

AI SOC hanya mencakup tengah.Ia membaca data alarm, penalaran, dan memberikan kesimpulan. Tidak perlu izin untuk menulis - itulah sebabnya mudah untuk membangun, semua orang membuatnya, dan berhenti di sana. Hasil dari sistem yang hanya menyimpulkan mesin dan diperbaiki orang-orang, adalah bahwa alarm ditutup lebih cepat, tapi backlog tetap yang tinggi.

ASO Overwrite pertengahan-to-rightArtinya, dari saat alarm dipicu ke waktu masalah benar-benar tetap. Hal ini juga membentang ke kiri untuk pengujian - bukan untuk menjalankan tes (yang juga pekerjaan SIEM / EDR / Log perangkat keamanan), tetapi untuk mengoperasikan perimeter untuk mendeteksi: salah pelaporan aturan, mencari daerah buta, memverifikasi apakah pengujian masih efektif setelah perubahan lingkungan dan routing temuan ke dalam aturan.

Ada satu yang baik:Aturan dipicu 847 kali bulan lalu, 812 kali secara otomatis.- Ini berbicara dengan sendirinya. Ini adalah sistem yang memegang hasil ini data yang dapat bertindak pada informasi ini.

Satu kalimat merangkum perbedaan antara tiga alat:Alat-alat yang hanya dapat dilihat tidak dapat bertindak, instrumen yang hanya dapat bertindak tidak dapat beralasan, dan instrumen yang hanya dapat beralasan adalah bodoh.

Kenapa "Pesawat Kendali"

Selama 10 tahun terakhir,Gravitasi Data"Konsentrasi telemetri, visibilitas, wawasan. Logika ini bekerja sampai jumlah data melampaui kapasitas analitis.

10 tahun ke depan akan mengikutiGravitasi WorkstreamSiapa pun yang memiliki aliran perbaikan, ia memiliki hasil. Kurangnya visibilitas operasi adalah biaya pemantauan yang mahal.

Ini menjelaskan fenomena yang berlawanan:Al, tugas tidak mengurangi beban kerja. Itu baru saja memindahkan pekerjaan.Aku tidak tahu.

Sebelum AI, antrian terbatas pada kapasitas manusia, peringatan risiko rendah ditekan dan seluruh rentang tes ditutup. AI mengambil langit-langit, dan itu hanya naik - sepuluh kali, bahkan tingkat promosi kecil, berarti banyak kali lebih manual memutuskan - daripada di masa lalu. Mesin menyerap jumlah proses, bukan penghakiman. Batas baru disebut MTTD (Waktu berarti untuk Keputusan, waktu keputusan rata-rata)Aku tidak tahu.

Keputusan - membuat antrian kosong hanya ketika ada sesuatu yang benar-benar bertindak. Hal itu adalah pesawat kontrol.

V. Mengapa tidak hanya SOC

Hal ini menjadikan ASO sebagai platform, bukan alat SOC plastik.

Lihat apa yang dibutuhkan setiap program keselamatan tubuh cerdas:Integrasi, organisasi, pelacakan kasus, kolaborasi persetujuan manual, pemerintahan dan audit dengan otoritas tertulisAku tidak tahu. AI SOC membutuhkan, manajemen tubuh cerdas kebutuhan, IAM pintar, keamanan awan, GRC, AppSec, berburu ancaman, deteksi bekerja - semua membutuhkan dasar yang sama.

Pembelian terpisah sebesar lima konstruksi infrastruktur yang sama: lima rantai audit, lima aliran persetujuan dan lima hal yang membuat tim kepatuhan sakit kepala. Berjalan pada ASOP, dan konteks membalas - aset, eksposur, identitas, kasus sejarah semua di satu tempat, makan setiap kecerdasan.

Ini adalah arti sebenarnya dari "membuat pekerjaan keamanan menjadi cerdas":Tidak setiap tugas memiliki tubuh cerdas di atas, tapi pesawat kontrol, yang membutuhkan tubuh cerdas ketika menyimpulkan, dan aliran kerja yang pasti.

Konstruksi SOC Generasi Berikutnya

VI. Bagaimana ASOP bekerja: loop SUDA

Dalam kasus Blink, ia menjalankan siccle-- SUDALihat (lihat), Underwood (mengerti), Putuskan (keputusan-pembuatan), Undang-Undang (aksi)Setiap langkah ada pemerintahan dan kontrol manusia.

  • Lihat: Penyusupan sinyal dari alat apapun di gudang teknologi
  • Underwood: entitas penarikan, eulasi, deweighting, asosiasi
  • Putuskan: Kesimpulan, penilaian dari keparahan dan risiko, rekomendasi untuk tindakan
  • Bertindak: penahanan, pemberantasan, pemulihan, dikenakan oleh kerangka implementasi (harness)

Prinsip inti desain adalah:Setiap panggung berjalan di lantai eksekutif termurah yang dapat menyelesaikannya.Checklist adalah definitif dan perlu dinilai sebelum dimodifikasi. Setiap alarm menjalankan garis depan model besar yang tidak mampu -- sama saja dengan mengubah tagihan token Anda menjadi biaya otorisasi SIEM baru.

Satu kalimat:Alasan intelijen, eksekusi arus kerja, penegakan kerangka penegakan.

VII. ASOP vs SOAR vs AI SOC

  • SOARSemuanya terserah padamu. Itu persis seperti yang kau katakan. Ini bukan penghakiman.
  • AI SOCIde yang bagus untuk pergi ke klinik, berhenti menarik kesimpulan, hanya SOC, atau cara Anda mendapatkannya dari produsen.
  • ASOP: Sebuah program awal domain cerdas tersedia pada hari pertama dan dapat disesuaikan - karena tidak ada dua lingkungan terlihat sama

VIII. Bagaimana bisa mengendalikan diri? Perbedaan antara perwalian dan harness

Ini adalah seluruh industri desain ide yang saya pikir layak disalin.

Sebagian besar praktek dalam industri ini adalah bahwa model garis depan digunakan untuk mengelola diagnosis, kesimpulan, dan tanggapan, dan batas ditulis dengan cepat.Tapi tingkat pagar cepat pada dasarnya adalah permintaan bagi model untuk melakukan dengan benar.- Ini bisa salah dibaca, diabaikan atau dikatakan sekitar.

Dan... Harness adalah batasan tingkat platform-mana intelijen tidak bisa melihat, berbicara atau alasan.Alat untuk peran teritorial, eksekusi karantina, tutup sumber daya, breaker. Ini berjalan di bawah model, prompt tidak dapat disuntikkan cukup.

Perbedaannya adalah:Guardrail hanya meminta untuk perilaku yang baik, Harness mengikat.

Kedip meletakkannya di tanah menjadi empat mekanisme kepercayaan yang dapat diverifikasi:

  • Agen Harness.Perkakas lapangan, pemisahan, tutup sumber daya, pemutus, semua wajib di bawah model
  • Challenger PattersonPenantang independen menyerang setiap kesimpulan sebelum hakim melepaskannya.
  • Eksposur Kredensial Nol: mobilitas tubuh cerdas, kunci dipegang oleh lemari besi dan aliran kerja terkontrol
  • Otoritas tidak OtoritasTubuh cerdas hanya bisa dikenakan untuk disaring, aksi kemampuan audit dan tidak berdasarkan otoritas berdiri

Surveillance juga mengikuti. Panduan AI dikeluarkan oleh CISA Joint Ally Group merekomendasikan pendekatan desain yang aman.Pikirkan kecerdasan sebagai identitas yang tidak dapat dipercaya, memberikan hak-hak minimal.Aku tidak tahu. Versi praktisnya adalah untuk merencanakan identitas tubuh cerdas dan rantai audit lengkap sebelum memperluas otonomi, bukan nanti. Kenyataannya adalah bahwa kebanyakan organisasi belum mencapai titik ini - survei identifikasi Aliansi Keselamatan Awan pada tahun 2026 menemukan bahwa pemerintah AS tidak dalam posisi untuk melakukannya.Hanya 18 persen perusahaan memiliki tingkat keyakinan tinggi dalam IAM mereka sendiri untuk mengelola identitas intelijen mereka.Aku tidak tahu.

Intrik berubah.

Dan jika SOC Anda masih melaporkan, "Berapa banyak alarm setiap analis menutup di kelasnya", Anda mengukur proses yang tidak ada lagi.

Targetnya dari Alerts Diuji Putar Autonomous dan Human-on-the- load resolusiAku tidak tahu. Pertanyaannya adalah "berapa kali kita mematikan alarm" menjadi "berapa kali kita memperbaikinya".

Indikator ini tidak nyaman karena mengekspos celah. Tapi itu juga satu-satunya indikator yang dapat menghubungkan masukan operasional yang aman dan hasil keamanan.

Bagaimana mendarat: jalan menuju kedewasaan

Gunakan bukan switch, itu adalah jalan:

Otomatisasi Artisanal AI Auxiliary Smart Leader and Approval Framework for self

Kepercayaan diperoleh, tidak dianugerahi. Mulai dari mana beban apotik paling berat, seperti kepercayaan dibangun secara bertahap, maka platform yang sama digunakan di daerah berikutnya - integrasi, manajemen kasus, aliran persetujuan, rantai audit - itulah cara untuk "lakukan di platform".

Ingat:Ini adalah manusia, proses dan teknologi shift, bukan latihan pengadaan.

XI.

Jangan menatap daftar fungsional, di kontrol dan cakupan. 9 poin inspeksi:

  • Lingkaran tertutup penuh: Konsultasi, penyelidikan, respon, bukan kesimpulan dan transmisi
  • Domain Cross-Soc, IAM, VM, GRC, cloud security, bukan hanya SOC
  • Vendor netralitas dan lebar integrasi: Dapat mencocokkan alat yang sudah Anda miliki, tidak mengunci lemari besi teknologi
  • Preset dan dapat diubahAda rencana pada hari pertama dan bisa berubah, bukan kotak hitam
  • Kontrol kepemilikan: Tingkat autonomy secara rutin diatur, disesuaikan untuk pertumbuhan kepercayaan
  • Orang baku di atas ring: Operasi resiko tinggi dibuka dengan persetujuan
  • Dapat disesuaikan, bukti tersedia: Setiap keputusan dan tindakan dapat ditinjau dan diekspor untuk audit
  • Tes bekerja dalam jangkauan.: Diubah, tertutup area buta, disahkan, mengembalikan aliran hasil - tetapi platform tidak berpura-pura bahwa itu adalah mesin pengujian
  • Kecepatan penyebaran: Beberapa hari hasil nyata, bukan proyek jangka panjang

Apa efek sebenarnya?

Blink memberikan dua kasus publik (pembuatan data, merujuk):

  • Keamanan HUMAN: 123 mengancam badan intelijen berburu, 11 yang membutuhkan tinjauan manual, 2 di antaranya adalah penemuan nyata yang membutuhkan patch, dan badan cerdas menyelamatkan tim lebih dari 100 jam kerja manual
  • Sebuah perusahaan asuransi global.: aliran kerja dari badan cerdas diperluas dari 5 sampai 30 + dan waktu resolusi alarm 15 menit sampai 1 menit. Ini. Internal

Blink mengklaim memiliki 30 ribu + integrator, 500 + preset pintar-tubuh templat bahwa keuangan lebih dari $100 juta. Angka-angka ini membawa posisi produsen, tetapi arah jelas:Hasilnya adalah tidak pernah "berapa banyak alarm telah dimatikan" tapi "berapa banyak masalah telah ditetapkan".

Pintar bekerja dengan aman.

Pada akhirnya: migrasi paradigma

Melihat ke belakang, era SIEM memecahkan "lihat", era SOAR memecahkan "menegakkan" dan era AI SOC memecahkan "penghakiman". Dan ASOP mencoba untuk memecahkan link terakhir:Mengubah penilaian menjadi lingkaran tertutup, memungkinkan tindakan untuk benar-benar tanah.

Ini bernilai lebih dari beberapa badan cerdas.Memindahkan fokus operasi aman dari "data" ke "workstream"Aku tidak tahu. Siapa pun yang memiliki aliran perbaikan, memiliki hasil - frase dalam lima tahun ke depan mungkin lebih penting daripada detail teknis.

Tentu saja, jangan tersesat dalam konsep. ASOP saat ini diusulkan oleh produsen dan didefinisikan oleh produsen (BlinkOps, Elastic, Optiv, SEC1, semua ke arah ini), dan standar dan batas masih dalam bentuk. Dasar nyata penghakiman sederhana:Bisakah tim Anda keluar dari "Call of Police" dan memperbaiki masalah nyata?

AI SOC memberi Anda kesimpulan, ASOP membantu Anda mengubahnya menjadi memperbaiki.

Referensi: BrinkOps, Program Operasi Keamanan Agensi, Definisi Operasi Cerdas Eustik, Program Optiv / SEC1 ASOP, CISA Smart Body AI Guide, 2026 Cloud Safety Union Identy Survey