De volgende generatie SOC's hoe het te bouwen: AAFO (Agentic Security Operations)

De term SOC (Security Operations Centre) is een term die niemand als veilig persoon kent. Maar het is een beetje ongemakkelijk in de twee jaar: SIEM verzamelt logs, EDR-vangterminals, AI SOC helpt je met de waarschuwingen -- elke ring wordt slimmer, en hoe meer de politielijn duidelijk is, hoe meer mensen werken.

Zo ontstond een nieuw concept in de industrie:ASOP (Agentic Security Operations Platform, Smart Body Secure Operating Platform)Ik weet het niet. Het is geen ander SOC product, maar een andere hoek. Dit artikel maakt duidelijk wat het is, en waar het is, hoe het landt, wat het moet vragen voordat het het koopt.

I. VOORBEREIDEN CONTEXT: ASO is een operationeel model

ASO (Agentic Security Operations, Smart Operators)Bedrijfsmodel: laat AI's slimme lichaam en definitieve workflow samenwerken om veilig te werken van signaal tot resolutie.

Attentie, niet alleen SOC alarm. Identiteitsverzoek, inbreuk detectie, compliance forensics, cloud configuratie fout -Elk werk dat vandaag in de handmatige wachtrij zal vallen.. De persoon is verantwoordelijk voor het bepalen van het niveau van autonomie en het altijd behouden van controle.

Het platform voor het uitvoeren van dit patroon is ASOP. Het is veilig.ControlevlakHet heeft een geïntegreerd, workflow, intelligentie, case en governance mechanisme eromheen.

II. "Intellectueel" en "workstream" zijn verschillend, maar beide

Het is een cruciaal onderscheid. Er is veel verwarring:

• AI Slimme lichaam: Kijk naar de huidige situatie, ga naar objectieve redeneringen, en handel via de instrumenten die u hebt goedgekeurd. Het is gebaseerd op wat het net vond.
• Workstream: Altijd dezelfde stappen, precies wat je hem vertelde.

Beiden, en één van hen, moeten gedisciplineerd worden, waar elke link toegestaan is. Dat is wat het betekent om het vliegtuig te controleren.

III. Een grafiek die de ASO grens begrijpt

Stel je een veilige werking voor als een spectrum van links naar rechts:

• LinksData conduit, log ingestie, ontbinding, opslag - SIEM gebied
• Centrum• Testen, doorverwijzing, onderzoek
• RechtsHerstel, insluiting, herstel en terugkoppeling loops stromen terug naar het testen

AI SOC dekt alleen het midden.Het leest alarm data, redeneren, en geeft u een conclusie. Het heeft geen toestemming nodig om te schrijven dat is waarom het is gemakkelijk te bouwen, iedereen maakt het, en het stopt daar. Het resultaat van een systeem dat alleen de motoren en de mensen repareerde, was dat de alarmen sneller werden gesloten, maar de achterstand bleef zo hoog.

ASO Overschrijf mid-to-rightDat wil zeggen, vanaf het moment dat het alarm wordt geactiveerd tot het moment dat het probleem echt is opgelost. Het rekt zich ook naar links voor het testen - niet voor het uitvoeren van tests (dat is ook het werk van SIEM/EDR/Log security tools), maar voor het bedienen van de perimeters om te detecteren: verkeerde rapportage van regels, zoeken naar blinde gebieden, controleren of testen nog steeds effectief is na veranderingen in het milieu en het omleiden van bevindingen in de regels.

Dat is een goeie:Een regel werd vorige maand 847 keer geactiveerd, 812 keer automatisch.- Het spreekt op zichzelf. Het zijn de systemen die deze resultaten gegevens bevatten die op deze informatie kunnen reageren.

Een zin vat het verschil tussen drie gereedschappen samen:De instrumenten die alleen kunnen worden gezien kunnen niet handelen, de instrumenten die alleen kunnen handelen kunnen niet worden gemotiveerd, en de instrumenten die alleen kunnen worden gemotiveerd zijn hersenloos.

IV. WAAROM het vliegtuig besturen

In de afgelopen 10 jaar,Gegevenszwaartekracht: concentratie telemetrie, zichtbaarheid, inzicht. Deze logica werkte totdat de hoeveelheid gegevens de analytische capaciteit overschreed.

De komende tien jaar zullen volgenWerkstroomzwaartekracht: Wie de reparatiestroom heeft, hij heeft het resultaat. Het gebrek aan zichtbaarheid van de operatie is een dure monitoringkostenpost.

Dit verklaart een contra-intuïtief fenomeen:Al, de opdracht verminderde de werklast niet. Het heeft de baan verplaatst.Ik weet het niet.

Voordat AI, de wachtrij was beperkt tot menselijke capaciteit, dus laag risico waarschuwingen werden onderdrukt en het hele scala van tests werd gesloten. AI nam het plafond, en het ging gewoon omhoog -- tien keer, zelfs een klein promotiepercentage, betekent veel meer handmatige besluitvorming dan in het verleden. De machine absorbeert de hoeveelheid proces, niet het oordeel. De nieuwe beperking heet MTTD (Mean Time to Decision, gemiddelde beslissingstijd)Ik weet het niet.

De besluitvorming wachtrijen zijn alleen leeg als er iets is om echt op in te spelen. Dat ding is het controle vliegtuig.

V. Why not just SOC

Dit maakt van ASO een platform, geen plastic SOC-tool.

Bekijk wat elk slim lichaamsveiligheidsprogramma nodig heeft:Integratie, organisatie, case tracking, handmatige goedkeuring samenwerking, governance en audit met schriftelijke autoriteitIk weet het niet. AI SOC heeft behoefte aan, slimme lichaam maas in beheer, slimme IAM, cloud security, GRC, AppSec, dreiging jagen, detectie werk - allemaal hebben dezelfde basis.

Gescheiden aankopen bedragen vijf reconstructies van dezelfde infrastructuur: vijf auditketens, vijf goedkeuringsstromen en vijf dingen die het complianceteam hoofdpijn geven. Runt op een ASOP, en de context wordt beantwoord - activa, blootstelling, identiteit, zaak geschiedenis zijn allemaal op één plaats, voeden elke intelligentie.

Dit is de echte betekenis van "de veiligheid slim maken":Niet elke taak heeft een slim lichaam bovenop, maar een controle vliegtuig, dat een slim lichaam nodig heeft wanneer afgeleid, en een duidelijke workflow.

VI. Hoe ASOP werkt: SUDA loop

In het geval van Blink, leidt het de SUDA cyclus...Zie (zie), Underwood (begrijpen), Beslissen (besluitvorming), Akte (actie)Elke stap van de manier waarop er bestuur en menselijke controle is.

• Zie: Ingestie van een signaal van elk hulpmiddel in een technologieopslag
• Underwood: entiteit die zich terugtrekt, eutrofiëring, deweging, associatie
• Beslis: Conclusies, beoordeling van ernst en risico's, aanbevelingen voor actie
• Akte: beheersing, uitroeiing, herstel, opgelegd door het uitvoeringskader (harnas)

De kernprincipes van het ontwerp zijn:Elke etappe loopt op de goedkoopste uitvoerende verdieping die het kan oplossen.De checklist is definitief en moet worden beoordeeld voordat het wordt gemodelleerd. Elk alarm draait op een front-line groot model dat zich niet kan veroorloven -- het staat gelijk aan het omzetten van je tokenrekening in een nieuwe SIEM autorisatie vergoeding.

Eén zin:Intelligentieredenering, werkstroomuitvoering, handhaving van het kader.

VII. ASOP vs SOAR vs AI SOC

• SOARHet is aan jou. Het is precies wat je het vertelde. Het is geen oordeel.
• AI SOCHet is een goed idee om naar de kliniek te gaan, geen conclusies te trekken, alleen SOC, of de manier waarop je het van de fabrikant krijgt.
• ASOP: Een cross-domein preset smart body programma is beschikbaar op de eerste dag en kan worden aangepast - omdat geen twee omgevingen kijken hetzelfde

VIII. Hoe kan controle worden verzekerd? Het verschil tussen vangrail en tuig

Het is het hele industriële ontwerp idee dat ik het waard vind om te kopiëren.

De meeste praktijken in de industrie zijn dat een front-line model wordt gebruikt om diagnose, conclusies en reacties te beheren, en grenzen worden direct geschreven.Maar de prompt level hek is in wezen een verzoek voor een model om goed te presteren.Het kan verkeerd worden gelezen, genegeerd of gezegd rond.

En ... Harnas is een platform-niveau beperking waar intelligentie niet kan zien, praten of redeneren.: tool for role territorialisation, quarantaine execution, resource cap, breaker. Het loopt onder het model, prompt kan niet genoeg geïnjecteerd worden.

Het verschil is:Vangrail vraagt om goed gedrag, Harness is bindend.

Knipper zet het op de grond in vier verifieerbare vertrouwensmechanismen:

• Agent Harness.Veldgereedschappen, segregatie, resource caps, brekers, allemaal verplicht onder modellen
• Challenger Patterson: Een onafhankelijke uitdager viel elke conclusie aan voordat de rechter het laat gaan
• Nul Credentiële blootstelling: Slimme lichaamsmobiliteit, sleutel in handen van kluis en gecontroleerde workflow
• Autoriteit niet Autoriteit: Slimme instanties kunnen alleen worden onderworpen aan vooraf gecontroleerde, controleerbare vaardigheden en zijn niet gebaseerd op permanente autoriteit

De bewaking houdt het ook bij. De AI Guide uitgegeven door de CISA Joint Ally Group beveelt een veilige ontwerpbenadering.Zie de intelligentie als een onbetrouwbaar identiteit, die minimale privileges geeft.Ik weet het niet. De praktische versie is het plannen van de slimme lichaam identiteit en volledige audit keten voordat uitbreiding van autonomie, in plaats van later. De realiteit is dat de meeste organisaties dit punt nog niet hebben bereikt - een identificatieonderzoek van de Cloud Safety Alliance in 2026 heeft vastgesteld dat de Amerikaanse overheid niet in staat is dit te doen.Slechts 18 procent van de bedrijven heeft een hoog vertrouwen in hun eigen IAM om hun intelligentie-identiteit te beheren.Ik weet het niet.

IX. Metrische veranderingen.

En als je SOC nog steeds rapporteert, "Hoeveel alarmen elke analist sluit in zijn klas," meet je een proces dat niet meer bestaat.

Het doel is van Waarschuwingen getriaged Draaien Autonome en human-on-the-load resolutiesIk weet het niet. De vraag gaat van hoe vaak we het alarm uitschakelen naar hoe vaak we het repareren.

Deze indicator is ongemakkelijk omdat het de kloof blootlegt. Maar het is ook de enige indicator die veilige operationele input en veiligheidsresultaten kan koppelen.

Hoe te landen: een pad naar volwassenheid

Gebruik geen schakelaar, het is een pad:

Artisanal Automation AI Auxiliary Smart Leadership and Approval Framework for Self-Operation

Vertrouwen wordt verdiend, niet toegekend. Beginnend van waar de last van dispensaires is het zwaarst, als vertrouwen geleidelijk wordt opgebouwd, dan wordt hetzelfde platform gebruikt in het volgende gebied integratie, case management, goedkeuring flow, audit keten, dat is wat het betekent om te doen op het platform.

Onthoud:Dit is een menselijke, proces- en technologieverschuiving, geen aanbesteding.

XI. HOE WORDT ASSOP

Kijk niet naar de functionele lijst, controle en dekking. Negen inspectiepunten:

• Volledige gesloten cirkel: raadpleging, onderzoek, reactie, geen conclusie en toezending
• Cross-domeinSoc, IAM, VM, GRC, cloud security, niet alleen SOC
• Verkopersneutraliteit en integratiebreedte: In staat zijn om de tools die je al hebt, niet vergrendelen van de technologie kluis
• Voorinstelling en aanpasbaar: Er is een plan op de eerste dag en het kan veranderen, geen zwarte doos
• Eigendomscontrole: Autonomieniveaus worden routinematig ingesteld, aangepast voor vertrouwensgroei
• Standaard persoon in ring: Met goedkeuring geopende operaties met een hoog risico
• Controleerbare, beschikbare gegevens: Elke beslissing en actie kan worden herzien en uitgevoerd voor controle
• De test is binnen bereik.: Modified, covered blind areas, valided, returned flow of results - but the platform does not pretend that it is a testing engine
• Inzetsnelheid: Een paar dagen echte resultaten, geen langetermijnproject

Wat is het echte effect?

Blink gaf twee openbare zaken (productiegegevens, zie):

• MENSELIJKE VEILIGHEID: 123 bedreigde jachtinformatie-instanties, waarvan er 11 handmatig moesten worden beoordeeld, waarvan 2 echte ontdekkingen waren waarvoor patches nodig waren, en intelligente lichamen spaarden teams meer dan 100 uur manuele arbeid
• Een wereldwijde verzekeringsmaatschappij.: werkstroom van intelligente instanties uitgebreid van 5 naar 30 + en tijd van het oplossen van alarmen 15 minuten tot 1 minuut. Hier. Intern

Blink beweert 30.000+integrator te hebben, 500+preset smart-body templates die meer dan $100 miljoen financieren. Deze cijfers dragen de positie van de fabrikant, maar de richting is duidelijk:Het resultaat was nooit

Aan het eind: een paradigmamigratie

Terugkijkend lost het SIEM-tijdperk "zie" op, het SOAR-tijdperk "afdwingbaar" op en het AI SOC-tijdperk lost "oordeel" op. En ASOP probeert de laatste link op te lossen:Oordeel veranderen in een gesloten cirkel, waardoor actie echt kan landen.

Het is meer waard dan een paar intelligente lichamen.De focus van veilige bediening verplaatsen van "data" naar "workstream"Ik weet het niet. Wie de reparatie flow heeft, heeft de resultaten en de zin in de komende vijf jaar kan belangrijker zijn dan enig technisch detail.

Natuurlijk, verdwaal niet in het concept. ASOP wordt momenteel voorgesteld door de fabrikant en gedefinieerd door de fabrikant (BlinkOps, Elastic, Optiv, SEC1, allemaal in deze richting), en normen en grenzen zijn nog steeds in vorm. De werkelijke basis van het oordeel is eenvoudig:Kan het je team uit de "Call of Police" halen en het echte probleem oplossen?

AI SOC geeft je een conclusie, ASOP helpt je er een oplossing van te maken.

Referentie: BrinkOps, Wat is een Agentschap Security Operations Program, Elastische Smart Operating Definition, Optiv / SEC1 ASOP Program, CISA Smart Body AI Guide, 2026 Cloud Safety Union Identity Survey