Następne pokolenie SOC jak go zbudować: AAFO (Agretic Security Operations)

Termin SOC (Centrum Operacji Bezpieczeństwa) jest terminem, z którym nikt nie jest zaznajomiony jako osoba bezpieczna. Ale to trochę niezręczne w ciągu tych dwóch lat: SIEM zbiera dzienniki, terminale przechwytywania EDR, AI SOC pomaga w ostrzeżeniach - każdy pierścień staje się coraz mądrzejszy, a im więcej policyjnych linii jest jasne, tym więcej ludzi działa.

W przemyśle pojawiła się nowa koncepcja:ASOP (Platforma Operacyjna ds. Bezpieczeństwa Autentycznego, Bezpieczna Platforma Operacyjna Bezpiecznego Ciała)Nie wiem. To nie kolejny produkt SOC, ale inny kąt. Artykuł ten wyjaśnia: co to jest i gdzie jest, jak wylądował, o co powinien zapytać przed zakupem.

I. KONTEKST PRZYGOTOWANY: ASO jest modelem operacyjnym

ASO (Autentyczne operacje bezpieczeństwa, inteligentne podmioty gospodarcze)Model biznesowy: niech inteligentne ciało AI i ostateczny przepływ pracy współpracują ze sobą, aby pracować bezpiecznie od sygnału do rozdzielczości.

Uwaga, nie tylko alarm SOC. Prośba o tożsamość, wykrywanie naruszeń, badania zgodności, błąd w konfiguracji chmur -Wszelkie prace, które dziś wpadną w ręczną kolejkę.Osoba jest odpowiedzialna za ustalenie poziomu autonomii i zawsze zachowanie kontroli.

Platformą do uruchomienia tego wzoru jest ASOP. To bezpieczne.Płaszczyzna sterującaMa zintegrowany, pracochłonny, inteligentny, przypadek i mechanizm zarządzania wokół niego.

II. "Intelektualny" i "strumień pracy" są różne, ale oba

To kluczowe rozróżnienie. Jest dużo zamieszania:

• AI Smart Body: Spójrz na obecną sytuację, przejdź do obiektywnego rozumowania i działaj poprzez narzędzia, które zatwierdziłeś. Opiera się na tym, co właśnie znalazł.
• Strumień pracyZawsze robisz te same kroki, dokładnie to, co mu powiedziałeś.

Zarówno oni, jak i jeden z nich, muszą być zdyscyplinowani "tam, gdzie jest dozwolone każde ogniwo". To znaczy kontrolować samolot.

III. Wykres, który rozumie granicę ASO

Wyobraźcie sobie bezpieczną pracę jako widmo od lewej do prawej:

• PozostałePrzewód danych, spożycie logarytmu, rozkład, przechowywanie - terytorium SIEM
• Centrum• Badanie, skierowanie, badanie
• Racja.Odzyskiwanie, ograniczanie, odzyskiwanie i pętle sprzężenia zwrotnego powracające do badań

AI SOC obejmuje tylko środek.Czyta dane alarmowe, rozumowanie i daje wnioski. Nie potrzebuje pozwolenia na pisanie - dlatego jest to łatwe do zbudowania, każdy to robi i tam się zatrzymuje. Wynikiem systemu, który tylko zakończył silniki i naprawił ludzi, było to, że alarmy były zamykane szybciej, ale zaległości pozostały tak wysokie.

ASO Overwrite mid- to- rightOznacza to, że od momentu uruchomienia alarmu do momentu, w którym problem zostanie naprawiony. Rozciąga się również na lewo do badań - nie do badań (co jest również pracą SIEM / EDR / Log narzędzia bezpieczeństwa), ale do obsługi perymetrów do wykrywania: błędne raportowanie zasad, poszukiwanie obszarów niewidomych, sprawdzanie, czy testy są nadal skuteczne po zmianach środowiskowych i przekierowywanie wyników do zasad.

Jest jeden dobry:Zasada została uruchomiona 847 razy w zeszłym miesiącu, 812 razy automatycznie.- To samo mówi. To systemy, które przechowują te dane o wynikach, mogą działać na tych informacjach.

Jedno zdanie podsumowuje różnicę między trzema narzędziami:Narzędzia, które można tylko zobaczyć, nie mogą działać, instrumenty, które mogą tylko działać, nie mogą być uzasadnione, a instrumenty, które można tylko uzasadnić, są bezmózgie.

IV. Dlaczego "Samolot kontrolny"

Przez ostatnie 10 lat,Grawitacja danych: telemetria koncentracji, widoczność, wgląd. Logika ta działała do czasu, gdy ilość danych przekroczyła zdolność analityczną.

Następne 10 lat nastąpiGrawitacja strumienia roboczego: Ktokolwiek ma przepływ naprawy, ma wynik. Brak widoczności operacji jest kosztownym kosztem monitorowania.

Wyjaśnia to zjawisko sprzeczne z intuicją:AI, zadanie nie zmniejszyło obciążenia pracą. Właśnie przesunęła pracę.Nie wiem.

Przed AI kolejka była ograniczona do ludzkich zdolności, więc alarmy niskiego ryzyka zostały stłumione i cały zakres testów został zamknięty. AI przejęła sufit i po prostu wzrosła -- dziesięć razy, nawet niewielki wskaźnik promocji, oznacza wiele razy więcej ręcznego podejmowania decyzji niż w przeszłości. Maszyna absorbuje ilość procesu, nie osąd. Nowe ograniczenie jest wywoływane MTTD (średni czas podejmowania decyzji, średni czas podejmowania decyzji)Nie wiem.

Linie decyzyjne są puste tylko wtedy, gdy jest coś, na czym można naprawdę działać. To jest samolot sterujący.

V. Dlaczego nie tylko SOC

To czyni ASO platformą, a nie plastikowym narzędziem SOC.

Zobacz, czego potrzebuje każdy inteligentny program bezpieczeństwa ciała:Integracja, organizacja, śledzenie spraw, ręczne zatwierdzanie współpracy, zarządzanie i audyt z pisemnym organemNie wiem. AI SOC potrzebuje, inteligentna luka w zarządzaniu ciałem, inteligentna IAM, bezpieczeństwo w chmurze, GRC, AppSec, polowanie na zagrożenia, wykrywanie pracy - wszyscy potrzebują tej samej bazy.

Oddzielne zakupy wynoszą pięć rekonstrukcji tej samej infrastruktury: pięć łańcuchów audytu, pięć strumieni zatwierdzania i pięć rzeczy, które sprawiają, że zespół zgodności ból głowy. Działa na ASOP, a kontekst jest odwzajemniony - aktywa, ekspozycja, tożsamość, historia spraw są w jednym miejscu, karmiąc każdą inteligencję.

To jest prawdziwe znaczenie "uczynienia bezpieczeństwa inteligentnym":Nie każde zadanie ma inteligentne ciało na górze, ale samolot kontrolny, który potrzebuje mądrego ciała po odjęciu, i określony przepływ pracy.

VI. Jak działa ASOP: pętla SUDA

W przypadku Blink 'a, prowadzi cykl SUDA...Patrz (patrz), Underwood (zrozumieć), Decyzja (decyzja), Akt (działanie)Każdy krok w tym kierunku to zarządzanie i ludzka kontrola.

• Patrz: Spożycie sygnału z dowolnego narzędzia w magazynie technologii
• Underwood: podmiot wycofujący się, eutrofizacja, odważenie, stowarzyszenie
• Decyduj: Wnioski, oceny dotkliwości i zagrożeń, zalecenia dotyczące działań
• Ustawa: powstrzymywanie, eliminowanie, odzyskiwanie, narzucone przez ramy wdrażania (uprząż)

Podstawowe zasady projektowania to:Każdy etap działa na najtańszym piętrze wykonawczym, który może go rozwiązać.Lista kontrolna jest ostateczna i musi być oceniana przed jej modelem. Każdy alarm uruchamia duży model, na który nie stać -- jest równoważny z przekształceniem twojego symbolicznego banknotu w nową opłatę licencyjną SIEM.

Jedno zdanie:rozumowanie wywiadowcze, wykonywanie w strumieniu pracy, egzekwowanie przepisów.

VII. ASOP vs SOAR vs AI SOC

• SOARWszystko zależy od ciebie. Dokładnie to, co powiedziałeś. To nie osąd.
• AI SOCTo dobry pomysł, aby iść do kliniki, przestać wyciągać wnioski, tylko SOC, lub sposób, w jaki dostajesz to od producenta.
• ASOP: Domena krzyżowa ustawiony inteligentny program body jest dostępny pierwszego dnia i może być dostosowane - ponieważ nie dwa środowiska wyglądają tak samo

VIII. Jak można zapewnić kontrolę? Różnica między guardrail i uprząż

Myślę, że warto to skopiować.

Większość praktyk w branży polega na tym, że model linii frontu jest stosowany do zarządzania diagnozą, wnioskami i odpowiedziami, a granice są zapisywane w trybie pilnym.Ale szybkie ogrodzenie poziomu jest zasadniczo prośbą o model do prawidłowego działania.- Można to źle odczytać, zignorować lub powiedzieć.

I... Uprząż jest ograniczeniem poziomu platformówki, gdzie inteligencja nie widzi, nie mówi ani nie rozumie.: narzędzie dla roli terytorializacji, wykonywania kwarantanny, cap zasobów, breaker. Działa pod modelem, nie może być wstrzyknięta wystarczająco.

Różnica polega na:Guardrail prosi o dobre zachowanie, Harness jest wiążący.

Blink umieszcza go na ziemi w czterech weryfikowalnych mechanizmach zaufania:

• Agencie Harness.Narzędzia polowe, segregacja, pokrywy zasobów, wyłączniki, wszystkie obowiązkowe w ramach modeli
• Challenger Patterson: Niezależny pretendent zaatakował każdy wniosek zanim sędzia go odpuścił
• Zero ekspozycji kredytowej: inteligentna mobilność ciała, klucz przechowywany w skarbcu i kontrolowany przepływ pracy
• Urząd nie Urząd: Inteligentne organy mogą być przedmiotem tylko wstępnie sprawdzonych i sprawdzonych działań w zakresie umiejętności i nie opierają się na stałym autorytecie

Nadzór też nadąża. Przewodnik dotyczący ptasiej grypy wydany przez Wspólną Grupę Ally CISA zaleca bezpieczne podejście do projektowania.Pomyśl o inteligencji jako o niegodnej zaufania tożsamości, dającej minimalne przywileje.Nie wiem. Praktyczna wersja polega na planowaniu tożsamości inteligentnego organu i ukończeniu łańcucha audytu przed rozszerzeniem autonomii, a nie później. Rzeczywistość jest taka, że większość organizacji nie osiągnęła jeszcze tego punktu - badanie identyfikacji Sojuszu Bezpieczeństwa w chmurze w 2026 roku okazało się, że rząd USA nie jest w stanie tego zrobić.Tylko 18% firm ma wysoki poziom zaufania do własnego IAM do zarządzania ich tożsamości wywiadowczej.Nie wiem.

IX. Metrics change.

A jeśli twój SOC nadal donosi: "Ile alarmów każdy analityk zamyka w swojej klasie", mierzysz proces, który już nie istnieje.

Cel jest z Wpisy w próbie Obrót Rezolucje autonomiczne i humanitarneNie wiem. Pytanie brzmi od "ile razy wyłączamy alarm" do "ile razy go naprawiamy".

Wskaźnik ten jest niewygodny, ponieważ ujawnia lukę. Ale jest to również jedyny wskaźnik, który może łączyć bezpieczne wejścia operacyjne i wyniki bezpieczeństwa.

Jak wylądować: ścieżka do dojrzałości

Nie używaj przełącznika, to ścieżka:

Artisanal Automation AI Pomocniczy Smart Leadership and Approbation Framework for Self-Operation

Zaufanie to zasługa, a nie nagroda. Począwszy od tego, gdzie ciężar dyspensatorów jest najcięższy, ponieważ zaufanie buduje się stopniowo, wówczas ta sama platforma jest wykorzystywana w następnym obszarze - integracja, zarządzanie sprawami, przepływ zezwoleń, łańcuch audytu - to właśnie oznacza "robić na platformie".

Pamiętaj:Jest to zmiana człowieka, procesu i technologii, a nie procedura udzielania zamówień.

XI. JAK ASSOP

Nie patrz na listę funkcjonalną, na kontrolę i zasięg. Dziewięć punktów kontroli:

• Pełne zamknięte koło: konsultacje, dochodzenie, odpowiedź, a nie wniosek i przekazanie
• Domena krzyżówCommentSoc, IAM, VM, GRC, bezpieczeństwo w chmurze, nie tylko SOC
• neutralność cenowa i szerokość integracji: Być w stanie dopasować narzędzia już masz, a nie zablokować skarbiec technologii
• Konfiguracja i możliwość dostosowania: Jest plan pierwszego dnia i może się zmienić, a nie czarna skrzynka
• Kontrola własności: Poziomy autonomii są rutynowo ustalane, dostosowane do wzrostu zaufania
• Domyślna osoba w pierścieniu: Operacje wysokiego ryzyka otwarte z zatwierdzeniem
• Audyt, dostępne dowody: Każda decyzja i działanie mogą być poddane przeglądowi i eksportowane do celów audytu
• Prace testowe są w zasięgu.: Zmodyfikowane, pokryte obszary niewidome, zatwierdzone, zwrócony przepływ wyników - ale platforma nie udaje, że jest to silnik testowy
• Prędkość wdrożenia: Kilka dni rzeczywistych wyników, a nie długoterminowy projekt

Jaki jest prawdziwy efekt?

Blink podał dwie sprawy publiczne (dane produkcyjne, patrz):

• Bezpieczeństwo człowieka: 123 grożono polującym organom wywiadowczym, z czego 11 wymagało ręcznego przeglądu, z czego 2 były prawdziwymi odkryciami wymagającymi łat, a inteligentne ciała uratowały zespoły ponad 100 godzin ręcznej pracy
• Globalna firma ubezpieczeniowa.: przepływ pracy inteligentnych ciał rozszerzony z 5 do 30 + i czas rozdzielczości alarmów 15 minut do 1 minuty. Masz. Wewnętrzne

Blink twierdzi, że ma 30.000 + integrator, 500 + preset smart- body szablony, które finansują ponad 100 milionów dolarów. Liczby te posiadają położenie producenta, ale kierunek jest jasny:Rezultatem było "jak wiele alarmów zostało wyłączonych", ale "jak wiele problemów zostało naprawionych".

Na koniec: migracja paradygmatu

Patrząc wstecz, era SIEM rozwiązuje "zobacz", era SOAR rozwiązuje "wykonalne", a wiek AI SOC rozwiązuje "wyrok". ASOP próbuje rozwiązać ostatni link:Zmieniając osąd w zamknięty krąg, pozwalając działaniom naprawdę wylądować.

Jest wart więcej niż kilka inteligentnych ciał.Przesunięcie ostrości bezpiecznej pracy z "danych" na "strumień pracy"Nie wiem. Ktokolwiek ma przepływ naprawczy, ma wyniki - wyrażenie w ciągu najbliższych pięciu lat może być ważniejsze niż jakiekolwiek szczegóły techniczne.

Oczywiście, nie zgub się w koncepcji. ASOP jest obecnie proponowany przez producenta i określony przez producenta (BlinkOps, Elastic, Optiv, SEC1, wszystkie w tym kierunku), a normy i granice są nadal w formie. Rzeczywista podstawa wymiaru sprawiedliwości jest prosta:Czy twój zespół mógłby usunąć się z "Call of Police" i rozwiązać prawdziwy problem?

AI SOC daje wniosek, ASOP pomaga zmienić go w fix.

Odniesienie: Brinkops, Co to jest Program Operacyjny Bezpieczeństwa Agencji, Elastyczna Inteligentna Definicja Operacyjna, Optiv / SEC1 Program ASOP, CISA Inteligentny Body AI Guide, 2026 Badanie Tożsamości Unii Bezpieczeństwa w chmurze