La prossima generazione di SOC come costruirlo: AAFO (Agentic Security Operations)

Il termine SOC (Security Operations Centre) è un termine che nessuno conosce come persona sicura. Ma è un po' imbarazzante nei due anni: SIEM raccoglie registri, terminali di cattura EDR, AI SOC ti aiuta con gli avvisi - ogni anello sta diventando più intelligente, e più la linea di polizia è chiara, più la gente funziona.

Così è emerso un nuovo concetto nel settore:ASOP (piattaforma di operazioni di sicurezza agentica, piattaforma operativa sicura corpo intelligente)Non lo so. Non è un altro prodotto SOC, ma un angolo diverso. Questo articolo lo rende chiaro: che cosa è, e dove è, come è atterrato, che cosa dovrebbe chiedere prima di acquistarlo.

I. CONTESTO PREPARATO: L'ESO è un modello operativo

ASO (Agentic Security Operations, Smart Operators)Modello di business: lasciare che il corpo intelligente di AI e il flusso di lavoro definitivo lavorino insieme per lavorare in modo sicuro dal segnale alla risoluzione.

Attenzione, non solo allarme SOC. Richiesta di identità, rilevamento di violazioni, conformità forense, errore di configurazione del cloud -Qualsiasi lavoro che cadrà nella coda manuale oggi.. La persona è responsabile di stabilire il livello di autonomia e mantenere sempre il controllo.

La piattaforma per eseguire questo modello è ASOP. E' sicuro.Piano di controlloHa un meccanismo integrato, flusso di lavoro, intelligenza, caso e governance.

II. "Intellettuale" e "workstream" sono diversi, ma entrambi

E' una distinzione cruciale. C'è molta confusione:

• AI Smart Body: Guardate la situazione attuale, muovetevi verso il ragionamento oggettivo, e agire attraverso gli strumenti che avete approvato. Si basa su quello che ha appena trovato.
• Flusso di lavoro: Sempre in esecuzione gli stessi passi, esattamente quello che gli hai detto.

Entrambi, e uno di loro, devono essere disciplinati “dove ogni link è consentito”. E' questo che significa controllare l'aereo.

III. Un grafico che comprende il confine dell'ESO

Immagina il funzionamento sicuro come uno spettro da sinistra a destra:

• A sinistraCondutta dati, ingestione di log, decomposizione, stoccaggio - territorio SIEM
• Centro• Test, rinvio, indagine
• Giusto.Ripristino, contenimento, recupero e loop di feedback che tornano alla prova

AI SOC copre solo il mezzo.Legge i dati di allarme, il ragionamento, e ti dà una conclusione. Non ha bisogno del permesso di scrivere — per questo è facile da costruire, tutti lo sta facendo, e si ferma lì. Il risultato di un sistema che ha concluso solo i motori e riparato la gente, era che gli allarmi sono stati chiusi più velocemente, ma il backlog è rimasto così alto.

ASO Overwrite mid-to-rightCioè, dal momento in cui l'allarme viene attivato al momento in cui il problema è veramente risolto. Si estende anche a sinistra per i test - non per le prove in esecuzione (che è anche il lavoro di SIEM/EDR/Log strumenti di sicurezza), ma per il funzionamento dei perimetri per rilevare: cattiva diffusione delle regole, alla ricerca di aree cieche, verificando se i test sono ancora efficaci dopo i cambiamenti ambientali e ri-rottando i risultati nelle regole.

Ce n'e' una buona:Una regola è stata attivata 847 volte il mese scorso, 812 volte automaticamente.- Parla da solo. Sono i sistemi che tengono questi dati di risultati che possono agire su queste informazioni.

Una frase riassume la differenza tra tre strumenti:Gli strumenti che si possono vedere solo non possono agire, gli strumenti che possono solo agire non possono essere ragionati, e gli strumenti che possono essere ragionati sono senza cervello.

IV. Perché “Piano di controllo”

Negli ultimi 10 anni,Gravità dei dati: telemetria di concentrazione, visibilità, visione. Questa logica ha funzionato fino a quando la quantità di dati ha superato la capacità analitica.

I prossimi 10 anni seguirannoGravità del flusso di lavoro: Chiunque abbia il flusso di riparazione, ha il risultato. La mancanza di visibilità dell'operazione è un costo di monitoraggio costoso.

Questo spiega un fenomeno controintuitivo:AI, l'incarico non ha ridotto il carico di lavoro. Ha appena spostato il lavoro.Non lo so.

Prima dell'IA, la coda era limitata alla capacità umana, così gli avvisi a basso rischio sono stati soppressi e l'intera gamma di test è stata chiusa. L'IA ha preso il soffitto, e ha appena aumentato -- dieci volte, anche un piccolo tasso di promozione, significa molte volte più processo decisionale manuale che in passato. La macchina assorbe la quantità di processo, non il giudizio. Il nuovo vincolo si chiama MTTD (Mean Time to Decision, tempo medio di decisione)Non lo so.

Le code decisionali sono vuote solo quando c'è qualcosa su cui agire davvero. Quella cosa e' l'aereo di controllo.

V. Perché non solo SOC

Questo rende ASO una piattaforma, non uno strumento di plastica SOC.

Guarda cosa serve ogni programma di sicurezza del corpo intelligente:Integrazione, organizzazione, monitoraggio dei casi, collaborazione di approvazione manuale, governance e audit con autorità scrittaNon lo so. AI SOC ha bisogno, intelligente corpo loophole gestione esigenze, intelligente IAM, cloud security, GRC, AppSec, minaccia di caccia, lavoro di rilevamento - tutti hanno bisogno della stessa base.

Gli acquisti separati ammontano a cinque ricostruzioni della stessa infrastruttura: cinque catene di audit, cinque flussi di approvazione e cinque cose che danno al team di conformità un mal di testa. Funziona su un ASOP, e il contesto è reciproco - beni, esposizione, identità, storia dei casi sono tutti in un posto, alimentando ogni intelligenza.

Questo è il vero significato di "fare il lavoro di sicurezza intelligente":Non ogni compito ha un corpo intelligente in cima, ma un piano di controllo, che ha bisogno di un corpo intelligente quando dedotto, e un flusso di lavoro definito.

VI. Come funziona ASOP: loop SUDA

Nel caso di Blink, gestisce il ciclo SUDA...V. (v.), Underwood (in sostituzione), Decide (decisione), Atto (azione)Ogni passo del modo in cui c'è la governance e il controllo umano.

• Vedi: Ingestione di un segnale da qualsiasi strumento in un magazzino tecnologico
• Underwood: entità di ritiro, eutrofizzazione, depeso, associazione
• Decide: Conclusioni, valutazioni della gravità e dei rischi, raccomandazioni d'azione
• Atto: contenimento, sradicamento, ricupero, imposto dal quadro di attuazione (tarismo)

I principi fondamentali del design sono:Ogni fase funziona sul piano esecutivo più economico che può risolverlo.La lista di controllo è definitiva e deve essere giudicata prima che sia modellata. Ogni allarme esegue un grande modello di linea anteriore che non può permettersi -- è equivalente a trasformare la fattura di token in una nuova tassa di autorizzazione SIEM.

Una frase:Il ragionamento dell'intelligenza, l'esecuzione del flusso di lavoro, l'applicazione del framework.

VII. ASOP vs SOAR vs AI SOC

• SODipende da te. E' esattamente quello che hai detto. Non e' un giudizio.
• AI SOCÈ una buona idea andare alla clinica, smettere di trarre conclusioni, solo SOC, o il modo in cui si ottiene dal produttore.
• ASOP: Un programma di corpo intelligente preimpostato cross-domain è disponibile il primo giorno e può essere personalizzato - perché nessun due ambienti guardano lo stesso

VIII. Come si può garantire il controllo? La differenza tra guardrail e imbracatura

E' l'idea del design industriale che credo valga la pena copiare.

La maggior parte delle pratiche del settore sono che un modello front-line viene utilizzato per gestire la diagnosi, le conclusioni e le risposte, e i confini sono scritti in breve.Ma la recinzione del livello del prompt è essenzialmente una richiesta di un modello per eseguire correttamente.— Può essere letto male, ignorato o detto intorno.

E... Harness è un vincolo a livello di piattaforma in cui l'intelligenza non può vedere, parlare o ragionare.: strumento per la territorializzazione del ruolo, l'esecuzione della quarantena, il tappo delle risorse, l'interruttore. Funziona sotto il modello, il prompt non può essere iniettato abbastanza.

La differenza è:Guardrail sta solo chiedendo un buon comportamento, Harness è vincolante.

Blink lo mette a terra in quattro meccanismi di fiducia verificabili:

• Agente Harness.Strumenti di campo, segregazione, tappi di risorse, breakers, tutti obbligatori sotto modelli
• Challenger Patterson: Un sfidante indipendente ha attaccato ogni conclusione prima che l'accusatore lo lasci andare
• Esposizione Credenziale Zero: mobilità corporea intelligente, chiave a volta e flusso di lavoro controllato
• Autorità: Gli organismi intelligenti possono essere soggetti solo all'azione pre-schermata e verificabile delle competenze e non si basano sull'autorità permanente

La sorveglianza sta anche continuando. La Guida AI del CISA Joint Ally Group raccomanda un approccio di progettazione sicuro.Pensate all'intelligenza come un'identità inaffidabile, dando privilegi minimi.Non lo so. La versione pratica è quella di pianificare l'identità del corpo intelligente e la catena di audit completa prima di espandere l'autonomia, piuttosto che dopo. La realtà è che la maggior parte delle organizzazioni non hanno ancora raggiunto questo punto - un'indagine di identificazione della Cloud Safety Alliance nel 2026 ha scoperto che il governo degli Stati Uniti non è in grado di farlo.Solo il 18 per cento delle aziende hanno un alto livello di fiducia nel proprio IAM per gestire la loro identità di intelligenza.Non lo so.

IX. I Metrics cambiano.

E se il tuo SOC sta ancora segnalando, "Quanti allarmi ogni analista si chiude nella sua classe", si misura un processo che non esiste più.

L'obiettivo è da Avvisi Triaged Girare Risoluzioni autonome e umane sul caricoNon lo so. La domanda va da “quante volte spegniamo l’allarme” a “ quante volte lo risolviamo”.

Questo indicatore è scomodo perché espone il divario. Ma è anche l'unico indicatore che può collegare ingressi operativi sicuri e risultati di sicurezza.

Come atterrare: un cammino verso la maturità

Non usare un interruttore, è un percorso:

Automazione Artisanal AI Leadership intelligente ausiliaria e Quadro di approvazione per l'autooperatività

La fiducia è guadagnata, non premiata. Partendo da dove il peso dei dispensari è più pesante, come la fiducia viene costruita gradualmente, allora la stessa piattaforma viene utilizzata nella prossima area — integrazione, gestione dei casi, flusso di approvazione, catena di audit — questo è ciò che significa “fare sulla piattaforma”.

Ricorda:Questo è un cambiamento umano, di processo e di tecnologia, non un esercizio di approvvigionamento.

XI. COME ASSOP

Non guardare la lista funzionale, il controllo e la copertura. Nove punti di ispezione:

• cerchio chiuso pieno: consultazione, indagine, risposta, non conclusione e trasmissione
• Croce-dominioSoc, IAM, VM, GRC, cloud security, non solo SOC
• Neutralità e integrazione del fornitore: Essere in grado di abbinare gli strumenti che hai già, non bloccare il caveau tecnologico
• Preimposta e personalizzabile: C'è un piano il primo giorno e può cambiare, non una scatola nera
• Controllo della proprietà: I livelli di autonomia sono regolati di routine, regolati per la crescita della fiducia
• Persona predefinita nell'anello: Operazioni ad alto rischio aperte con approvazione
• Auditable, prove disponibili: Ogni decisione e azione possono essere esaminate ed esportate per l'audit
• I test sono in linea.: Aree cieche modificate, coperte, convalidate, restituite portate di risultati - ma la piattaforma non fa finta che si tratti di un motore di prova
• Velocità di distribuzione: Alcuni giorni di risultati reali, non un progetto a lungo termine

Qual è l'effetto reale?

Blink ha dato due casi pubblici (dati di produzione, fare riferimento a):

• Sicurezza umana: 123 corpi segreti di caccia minacciati, 11 dei quali richiedevano una revisione manuale, 2 delle quali erano scoperte reali che richiedono patch e corpi intelligenti hanno salvato squadre più di 100 ore di lavoro manuale
• Una compagnia assicurativa globale.: flusso di lavoro di corpi intelligenti espansi da 5 a 30 + e tempo di risoluzione degli allarmi 15 minuti a 1 minuto. Tieni. Interno

Blink sostiene di avere 30.000+integratore, 500+preset modelli di smart-body che finanziano oltre $100 milioni. Queste figure portano la posizione del produttore, ma la direzione è chiara:Il risultato non è mai stato “quanti allarmi sono stati spenti” ma “quanti problemi sono stati risolti”.

Alla fine: una migrazione paradigmatica

Guardando indietro, l'era SIEM risolve "vedere", l'era SOAR risolve "applicabile" e l'era AI SOC risolve "giudizio". E ASOP sta cercando di risolvere l'ultimo link:Trasformare il giudizio in un cerchio chiuso, permettendo l'azione di atterrare veramente.

Vale più di un paio di corpi intelligenti.Trasferire il focus del funzionamento sicuro da "dati" a "workstream"Non lo so. Chiunque abbia il flusso di riparazione, ha i risultati — la frase nei prossimi cinque anni può essere più importante di qualsiasi dettaglio tecnico.

Certo, non perderti nel concetto. ASOP è attualmente proposto dal produttore e definito dal produttore (BlinkOps, Elastic, Optiv, SEC1, tutti in questa direzione), e gli standard e i confini sono ancora in forma. La vera base del giudizio è semplice:Potrebbe far uscire la sua squadra dalla "Call of Police" e risolvere il vero problema?

AI SOC ti dà una conclusione, ASOP ti aiuta a trasformarla in una soluzione.

Riferimento: BrinkOps, What is an Agency Security Operations Program, Elastic Smart Operating Definition, Optiv / SEC1 ASOP Program, CISA Smart Body AI Guide, 2026 Cloud Safety Union Identity Survey