Neste generasjon av SOCs hvordan du bygger det: AAFO (Agentic Security Operations)

Begrepet SOC (Security Operations Centre) er et begrep som ingen er kjent med som en trygg person. Men det er litt vanskelig i de to årene: SIEM samler logger, EDR fange terminaler, AI SOC hjelper deg med varsler - hver ring blir smartere, og jo mer politilinjen er klar, jo flere mennesker jobber.

Et nytt konsept dukket opp i bransjen:ASOP (Agentic Security Operations Platform, Smart Body Secure Operating Platform)Jeg vet ikke. Det er ikke et annet SOC-produkt, men en annen vinkel. Denne artikkelen gjør det klart: hva det er, og hvor det er, hvordan det landet, hva det bør spørre før du kjøper det.

I. Forberedt kontact: ASO er en operativ modell

ASO (Agentic Security Operations, Smart Operators)ForretningsmodellLa AIs smarte kropp og definitive arbeidsflyt jobbe sammen for å jobbe trygt fra signal til oppløsning.

Ikke bare SOC-alarm. ID-forespørsel, brudd på deteksjon, rettsmedisin, skykonfigurasjonsfeil -Alt arbeid som vil falle i den manuelle køen i dag.Personen er ansvarlig for å sette nivået på autonomi og alltid opprettholde kontroll.

Plattformen for å kjøre dette mønsteret er ASOP. Det er trygt.KontrollplanDet har en integrert, arbeidsflyt, intelligens, sak og styring mekanisme rundt den.

II. " Intellektuell" og " arbeidsstrøm" er annerledes, men begge

Det er en viktig forskjell. Det er mye forvirring:

• AI Smart BodySe på den nåværende situasjonen, gå mot objektiv resonnement og handle gjennom verktøyene du godkjente. Det er basert på det den nettopp fant.
• WorkstreamAlways Kjør alltid de samme trinnene, akkurat det du fortalte ham.

Begge, og en av dem, må disiplineres \"hvor alle linker er tillatt\". Det er det som betyr å styre flyet.

III. En graf som forstår ASO-grensen

Tenk sikker drift som et spektrum fra venstre til høyre:

• VenstreDataledning, logginntak, dekomponering, lagring - SIEM territorium
• SenterTesting, henvisning, undersøkelse
• HøyreRecovery, containment, gjenoppretting og tilbakemeldingssløyfer som flyter tilbake til testing

AI SOC dekker bare midten.Den leser alarmdata, resonnement og gir deg en konklusjon. Det trenger ikke lov til å skrive - det er derfor det er enkelt å bygge, alle gjør det, og det stopper der. Resultatet av et system som bare konkluderte motorene og repareret menneskene, var at alarmene ble stengt raskere, men bakloggen forble så høy.

Overskriv midt til høyreDet vil si at fra det øyeblikket alarmen utløses til det tidspunktet problemet virkelig er løst. Den strekker seg også til venstre for testing - ikke for løpende tester (som også er arbeidet til SIEM/EDR/Log sikkerhetsverktøy), men for drift av omkretsene for å oppdage: feilrapportering av regler, søking etter blinde områder, verifisere om testen fortsatt er effektiv etter miljøendringer og omorganisering funn i reglene.

Det er en god:En regel ble utløst 847 ganger forrige måned, 812 ganger automatisk.- Det snakker i seg selv. Det er systemene som har disse resultatene som kan handle på denne informasjonen.

En setning oppsummerer forskjellen mellom tre verktøy:Verktøyene som bare kan sees kan ikke handle, de instrumenter som bare kan handle kan ikke begrunnes, og de instrumenter som bare kan begrunnes er hjerneløse.

4. Hvorfor «kontrollplan»

De siste ti årene,Data Gravity: konsentrasjon telemetri, synlighet, innsikt. Denne logikken fungerte til mengden data overskredet analytisk kapasitet.

De neste ti årene vil følgeWorkstream GravityDen som har reparasjon flyt, han har resultatet. Manglende synlighet av operasjonen er en dyr overvåkingskostnad.

Dette forklarer et kontraintuitivt fenomen:Oppgaven reduserte ikke arbeidsbelastningen. Det har nettopp flyttet jobben.Jeg vet ikke.

Før AI var køen begrenset til menneskelig kapasitet, så lavrisikovarsler ble undertrykt og hele testområdet ble lukket. AI tok taket, og det bare gikk opp - ti ganger, selv en liten kampanje, betyr mange ganger mer manuell beslutningstaking enn tidligere. Maskinen absorberer mengden prosess, ikke dommen. Den nye begrensningen kalles MTD (måltid til beslutning, gjennomsnittlig beslutningstid)Jeg vet ikke.

Beslutningskøer er tomme bare når det er noe å virkelig handle på. Det er kontrollplanet.

V. Hvorfor ikke bare SOC

Dette gjør ASO til en plattform, ikke et plast SOC-verktøy.

Se hva hvert smart kroppssikkerhetsprogram trenger:Integrasjon, organisasjon, case tracking, manuell godkjenning samarbeid, styring og revisjon med skriftlig myndighetJeg vet ikke. AI SOC trenger, smart kroppssløyfehull ledelse behov, smart IAM, skysikkerhet, GRC, AppSec, trussel jakt, deteksjon arbeid - alle trenger samme base.

Separate kjøp utgjør fem rekonstruksjoner av samme infrastruktur: fem revisjonskjeder, fem godkjenningsstrømmer og fem ting som gir complianceteamet hodepine. Kjører på en ASOP, og konteksten er reciprocated - eiendeler, eksponering, identitet, case history er alle på ett sted, fôring alle intelligens.

Dette er den virkelige betydningen av å gjøre sikkerhetsarbeid smartIkke alle oppgaver har en smart kropp på toppen, men et kontrollplan, som trenger en smart kropp når dedusert, og en bestemt arbeidsflyt.

VI. Hvordan ASOP fungerer: SUDA loop

Når det gjelder Blink, kjører det SUDA syklusen-Se (se), Underwood (forståelse), Beslutning (beslutning), lov (handling)Hvert steg i veien for styring og menneskelig kontroll.

• SeInnhold av et signal fra ethvert verktøy i et teknologilager
• Underwood: uttaksenhet, eutrofiering, nedvekting, assosiasjon
• AvgjørelseKonklusjoner, vurderinger av alvorlighetsgrad og risiko, anbefalinger til tiltak
• LovInnbefattelse, utryddelse, gjenoppretting, pålagt ved gjennomføringsrammen (harme)

Prinsippene for kjernedesign er:Hvert trinn går på det billigste Executive Floor som kan løse det.Checklisten er definitiv og må vurderes før den er modellert. Hver alarm kjører en front-line stor modell som ikke har råd til - det er ekvivalent med å gjøre token regningen til en ny SIEM autorisasjonsavgift.

En setning:Intelligence resonnement, arbeidsstrøm gjennomføring, håndheve rammehåndhevelse.

VII. ASOP vs SOAR vs AI SOC

• SOARDet er opp til deg. Det var akkurat det du sa. Det er ikke en dom.
• AI SOCDet er en god ide å gå til klinikken, slutte å tegne konklusjoner, bare SOC, eller måten du får det fra produsenten.
• ASOP: Et cross-domene forhåndsinnstilt smart kroppsprogram er tilgjengelig den første dagen og kan tilpasses - fordi ingen to miljøer ser det samme

VIII. Hvordan kan kontroll sikres? Forskjellen mellom garderail og sele

Det er hele den industrielle design ideen som jeg synes er verdt å kopiere.

De fleste praksisene i bransjen er at en front-line-modell brukes til å administrere diagnose, konklusjoner og svar, og grenser er skrevet umiddelbart.Men hurtignivågjerdet er i hovedsak en forespørsel om en modell å utføre riktig.- Det kan bli feillest, ignorert eller sagt rundt.

Og... Harness er en plattform-nivå begrensning der intelligens ikke kan se, snakke eller fornuft.: verktøy for rolle territorialisering, karantene henrettelse, ressurs cap, breaker. Den kjører under modellen, hurtig kan ikke injiseres nok.

Forskjellen er:Guardail ber bare om god oppførsel, Harness er bindende.

Blink setter den på bakken i fire kontrollerbare tillitsmekanismer:

• Agent Harness.Feltverktøy, segregering, ressurskapper, brytere, alle obligatorisk under modeller
• Challenger PattersonEn uavhengig utfordrer angrep alle konklusjoner før advokaten lar det gå
• Null påstått eksponering: smart kroppsmobilitet, nøkkel holdt av hvelv og kontrollert arbeidsflyt
• myndighet ikke myndighetSmarte organer kan bare være underlagt pre-screened, revisjonsbare ferdigheter handling og er ikke basert på stående myndighet

Overvåkning fortsetter også. AI Guide utstedt av CISA Joint Ally Group anbefaler en sikker design tilnærming.Tenk på intelligensen som en upålitelig identitet som gir minimale privilegier.Jeg vet ikke. Den praktiske versjonen er å planlegge den smarte kroppens identitet og fullstendige revisjonskjeden før utvidelsen av autonomi, i stedet for senere. Sannheten er at de fleste organisasjoner ennå ikke har nådd dette punktet - en identifikasjonsundersøkelse av Cloud Safety Alliance i 2026 fant at den amerikanske regjeringen ikke er i stand til å gjøre det.Bare 18 prosent av selskapene har en høy tillit til sin egen IAM for å administrere sin intelligens identitet.Jeg vet ikke.

IX. Metrics endres.

Og hvis din SOC fortsatt rapporterer, " hvor mange alarmer hver analytiker stenger i klassen," du måler en prosess som ikke eksisterer lenger.

Målet er fra Alerts Triaged Drei Autonome og menneskelige resolusjonerJeg vet ikke. Spørsmålet går fra \"hvor mange ganger vi slår av alarmen\" til \"hvor mange ganger vi fikser den\".

Denne indikatoren er ubehagelig fordi den avslører gapet. Men det er også den eneste indikatoren som kan knytte trygge operasjonelle innganger og sikkerhetsresultater.

Hvordan lande: en vei til modenhet

Bruk ikke en bryter, det er en sti:

Artisanal Automation AI Auxiliary Smart Lederskap og godkjenningsramme for selvoperasjon

Stoltheten er opptjent, ikke tildelt. Fra og med hvor byrden av dispensarer er mest tung, som tillit er bygget gradvis, brukes den samme plattformen i det neste området - integrasjon, case management, godkjenningsstrøm, revisjonskjede - det er det som betyr å \"gjøre på plattformen\".

Husk:Dette er et menneske-, prosess- og teknologiskifte, ikke en anskaffelsesøvelse.

XI. Hvordan ASSOP

Ikke stirr på den funksjonelle listen, til kontroll og dekning. Ni kontrollpunkter:

• Full lukket sirkel: konsultasjon, etterforskning, respons, ikke konklusjon og overføring
• KorsdomeneSoc, IAM, VM, GRC, skysikkerhet, ikke bare SOC
• Leverandørneutralitet og integrasjonsbredde: Vær i stand til å matche verktøyene du allerede har, ikke låse teknologi hvelv
• Forhåndsinnstilling og tilpasningsdyktigDet er en plan på den første dagen og det kan endre seg, ikke en svart boks
• EierskapskontrollAutonomi nivåer er rutinemessig satt, justert for tillitsvekst
• Standard person i ring: Høyrisikooperasjoner åpen med godkjenning
• Sjekkbare, tilgjengelige bevisEnhver beslutning og handling kan revideres og eksporteres til revisjon
• Testarbeider er i rekkevidde.: Modifiserte, dekkede blinde områder, validerte, returnerte flyt av resultater - men plattformen later ikke som om det er en testmotor
• DemonteringshastighetNoen dager med reelle resultater, ikke et langsiktig prosjekt

Hva er den virkelige effekten?

Blink ga to offentlige tilfeller (manufacturing data, se):

• Menneskesikkerhet123 truet jakt etterretningsorganer, hvorav 11 trengte manuell gjennomgang, hvorav 2 var virkelige oppdagelser som krevde flekker, og intelligente organer reddet lag mer enn 100 timers manuell arbeid
• Et globalt forsikringsselskap.: arbeidsflyt av intelligente legemer utvidet fra 5 til 30 + og tidspunktet for oppløsning av alarmer 15 minutter til 1 minutt. Her. Intern

Blink hevder å ha 30.000 + integrator, 500 + preset smart-kropp maler som finansierer over $ 100 millioner. Disse tallene bærer produsentens posisjon, men retningen er tydelig:Resultatet var aldri \"hvor mange alarmer har blitt slått av\", men \"hvor mange problemer har blitt løst\".

Til slutt: paradigmevandring

Når SIEM-eraen ser tilbake, løses " se," SOAR-eraen løser " håndhevbar" og AI SOC-alderen løser "dommer". ASOP prøver å løse den siste linken:Å gjøre dommen til en lukket sirkel, slik at handlingen virkelig lander.

Det er verdt mer enn noen få intelligente kropper.Flytte fokus på sikker drift fra "data" til " arbeidsstrøm"Jeg vet ikke. Den som har reparasjonsstrøm, har resultatene - frasen i de neste fem årene kan være viktigere enn noen teknisk detalj.

Ikke gå vill i konseptet. ASOP foreslås for tiden av produsenten og definert av produsenten (BlinkOps, Elastic, Optiv, SEC1, alle i denne retningen), og standarder og grenser er fortsatt i form. Vurderingsgrunnlaget er enkelt:Kan det få teamet ditt ut av " politiets ring" og løse det virkelige problemet?

AI SOC gir deg en konklusjon, ASOP hjelper deg å gjøre det til en løsning.

Referanse: BrinkOps, Hva er et byrå sikkerhetsoperasjonsprogram, elastisk smartdriftsdefinisjon, Optiv / SEC1 ASOP Program, CISA Smart Body AI Guide, 2026 Cloud Safety Union Identity Survey