A próxima geração de SOCs como construí-lo: AAFO (Agentic Security Operations)

O termo SOC (Centro de Operações de Segurança) é um termo que ninguém está familiarizado como uma pessoa segura. Mas é um pouco estranho nos dois anos: SIEM coleta registros, terminais de captura de EDR, AI SOC ajuda com os alertas -- cada anel está ficando mais inteligente, e quanto mais a linha policial é clara, mais pessoas trabalham.

Então um novo conceito surgiu na indústria:ASOP (Agentic Security Operations Platform, Smart Body Secure Operating Platform)Não sei. Não é outro produto SOC, mas um ângulo diferente. Este artigo deixa claro: o que é, e onde está, como pousou, o que deve pedir antes de comprá-lo.

I. CONTEXTO PREPARADO: ASO é um modelo operacional

ASO (Operações de Segurança Agenética, Operadores Inteligentes)Modelo de negócio: deixe o corpo inteligente da IA e o fluxo de trabalho definitivo trabalharem juntos para trabalhar em segurança do sinal à resolução.

Atenção, não só alarme SOC. Pedido de identidade, detecção de violação, perícia de conformidade, erro de configuração na nuvem -Qualquer trabalho que caia na fila manual hoje.A pessoa é responsável por definir o nível de autonomia e manter sempre o controle.

A plataforma para executar este padrão é ASOP. É seguro.Plano de controloEle tem um mecanismo integrado, fluxo de trabalho, inteligência, caso e governança em torno dele.

II. "Intellectual" e "workstream" são diferentes, mas ambos

É uma distinção crucial. Há muita confusão.

• AI Corpo Inteligente: Olhar para a situação atual, avançar para o raciocínio objetivo, e agir através das ferramentas que você aprovou. É baseado no que acabou de encontrar.
• Fluxo de trabalhoCorrendo sempre os mesmos passos, exactamente o que lhe disseste.

Ambos, e um deles, precisam ser disciplinados “onde todo elo é permitido”. É o que significa controlar o avião.

III. Um gráfico que compreende o limite ASO

Imagine operação segura como um espectro da esquerda para a direita:

• EsquerdaConduíte de dados, ingestão de log, decomposição, armazenamento - território SIEM
• Centro• Teste, encaminhamento, investigação
• CertoRecuperação, contenção, recuperação e feedback voltam aos testes

AI SOC só cobre o meio.Lê dados de alarme, raciocínio e dá-lhe uma conclusão. Não precisa de permissão para escrever — é por isso que é fácil de construir, todo mundo está fazendo isso, e ele pára lá. O resultado de um sistema que só concluiu os motores e reparou as pessoas, foi que os alarmes foram fechados mais rápido, mas o atraso permaneceu tão alto.

ASO Overwrite mid- to- rightOu seja, desde o momento em que o alarme é disparado até o momento em que o problema é realmente corrigido. Ele também se estende para a esquerda para testes - não para a execução de testes (que também é o trabalho do SIEM/EDR/Log ferramentas de segurança), mas para operar os perímetros para detectar: má notificação de regras, busca de áreas cegas, verificando se o teste ainda é eficaz após alterações ambientais e re-roteando achados nas regras.

Essa é boa.Uma regra foi disparada 847 vezes no mês passado, 812 vezes automaticamente.- Está a falar por si só. São os sistemas que mantêm esses dados de resultados que podem atuar sobre essas informações.

Uma frase resume a diferença entre três ferramentas:Os instrumentos que só podem ser vistos não podem agir, os instrumentos que só podem agir não podem ser fundamentados, e os instrumentos que só podem ser fundamentados são sem cérebro.

IV. POR QUE “Avião de controle”

Nos últimos 10 anos,Gravidade dos Dados: telemetria de concentração, visibilidade, insight. Essa lógica funcionou até que a quantidade de dados excedeu a capacidade analítica.

Os próximos 10 anos se seguirãoGravidade do fluxo de trabalho: Quem tem o fluxo de reparo, ele tem o resultado. A falta de visibilidade da operação é um custo de monitoramento caro.

Isso explica um fenômeno contraintuitivo:A missão não reduziu a carga de trabalho. Acabou de mudar o trabalho.Não sei.

Antes da IA, a fila era limitada à capacidade humana, então os alertas de baixo risco foram suprimidos e toda a gama de testes foi fechada. A IA tomou o teto, e ele apenas subiu -- dez vezes, mesmo uma pequena taxa de promoção, significa muitas vezes mais decisões manuais do que no passado. A máquina absorve a quantidade de processo, não o julgamento. A nova restrição é chamada MTTD (Tempo médio de decisão, tempo médio de decisão)Não sei.

As filas de decisão só estão vazias quando há algo em que realmente agir. Aquela coisa é o avião de controlo.

V. POR QUE NÃO SOC

Isso faz da ASO uma plataforma, não uma ferramenta de plástico SOC.

Veja do que cada programa de segurança inteligente precisa:Integração, organização, acompanhamento de casos, colaboração de aprovação manual, governança e auditoria com autoridade escritaNão sei. Necessidades de SOC de IA, necessidades de gerenciamento de falhas de corpo inteligente, IAM inteligente, segurança em nuvem, GRC, AppSec, caça à ameaça, trabalho de detecção - todos precisam da mesma base.

Compras separadas equivalem a cinco reconstruções da mesma infraestrutura: cinco cadeias de auditoria, cinco fluxos de aprovação e cinco coisas que dão à equipe de conformidade uma dor de cabeça. Funciona em um ASOP, e o contexto é recíproco - ativos, exposição, identidade, histórico de caso estão todos em um lugar, alimentando cada inteligência.

Este é o verdadeiro significado de "fazer a segurança funcionar inteligente":Nem toda tarefa tem um corpo inteligente no topo, mas um plano de controle, que precisa de um corpo inteligente quando deduzido, e um fluxo de trabalho definido.

VI. Como funciona o ASOP: ciclo SUDA

No caso do Blink, ele executa o ciclo SUDA...Ver (ver), Underwood (compreensão), Decide (decisão), Acto (acção)Cada passo do caminho há governança e controle humano.

• Ver: Ingestão de um sinal de qualquer ferramenta em um armazém de tecnologia
• Madeira: entidade de retirada, eutrofização, despesamento, associação
• DecidaConclusões, avaliações da gravidade e dos riscos, recomendações de acção
• Acto: contenção, erradicação, recuperação, imposta pelo quadro de execução (harness)

Os princípios fundamentais do design são:Cada palco é executado no piso executivo mais barato que pode resolvê-lo.A lista de verificação é definitiva e precisa ser julgada antes de ser modelada. Cada alarme roda um modelo grande de linha de frente que não pode pagar -- é equivalente a transformar sua conta de token em uma nova taxa de autorização SIEM.

Uma frase:Raciocínio da inteligência, execução do fluxo de trabalho, aplicação do quadro de execução.

VII. ASOP vs SOAR vs AI SOC

• SOARTudo depende de ti. É exactamente o que lhe disseste. Não é um julgamento.
• AI SOCÉ uma boa ideia ir para a clínica, parar de tirar conclusões, apenas SOC, ou a maneira como você obtê-lo do fabricante.
• ASOP: Um programa de corpo inteligente cross-domain predefinido está disponível no primeiro dia e pode ser personalizado - porque não há dois ambientes olhar o mesmo

VIII. Como se pode garantir o controle? A diferença entre guarda-reboques e arnês

É toda a ideia de design industrial que eu acho que vale a pena copiar.

A maioria das práticas na indústria é que um modelo de linha de frente é usado para gerenciar o diagnóstico, conclusões e respostas, e limites são escritos em imediato.Mas a vedação de nível rápido é essencialmente um pedido para um modelo para executar corretamente.— Pode ser mal interpretado, ignorado ou dito.

E... Harness é uma restrição de nível de plataforma onde a inteligência não pode ver, falar ou razão.: ferramenta para territorialização de papel, execução de quarentena, tampa de recurso, disjuntor. Ele corre sob o modelo, prompt não pode ser injetado o suficiente.

A diferença é:O Guardrail só está a pedir por bom comportamento, o Harness está ligado.

O Blink coloca-o no terreno em quatro mecanismos de confiança verificáveis:

• Agente Harness.Ferramentas de campo, segregação, caps de recursos, disjuntores, tudo obrigatório sob modelos
• Challenger Patterson: Um desafiante independente atacou todas as conclusões antes do juiz deixá-lo ir
• Exposição Credencial Zero: mobilidade inteligente do corpo, chave mantida por cofre e fluxo de trabalho controlado
• Autoridade não Autoridade: Os organismos inteligentes só podem ser sujeitos a acções de competências pré-selecionadas e auditáveis e não se baseiam na autoridade permanente

A vigilância também está a acompanhar. O Guia de IA emitido pelo CISA Joint Ally Group recomenda uma abordagem de design segura.Pense na inteligência como uma identidade não confiável, dando privilégios mínimos.Não sei. A versão prática é planejar a identidade do corpo inteligente e completar a cadeia de auditoria antes de expandir a autonomia, em vez de mais tarde. A realidade é que a maioria das organizações ainda não chegou a este ponto - uma pesquisa de identificação da Cloud Safety Alliance em 2026 descobriu que o governo dos EUA não está em posição de fazê-lo.Apenas 18 por cento das empresas têm um alto nível de confiança em seu próprio IAM para gerenciar sua identidade de inteligência.Não sei.

IX. As métricas mudam.

E se seu SOC ainda estiver relatando: "Quantos alarmes cada analista fecha em sua classe", você mede um processo que já não existe.

O alvo é de Alertas Triados Virar Resoluções autónomas e sobre a carga humanaNão sei. A pergunta vai de “quantas vezes desligamos o alarme” para “quantas vezes consertamos”.

Este indicador é desconfortável porque expõe a lacuna. Mas também é o único indicador que pode ligar entradas operacionais seguras e resultados de segurança.

Como pousar: um caminho para a maturidade

Não use um interruptor, é um caminho:

Automação Artisanal AI Liderança inteligente auxiliar e Framework de Aprovação para Auto-Operação

A confiança é conquistada, não concedida. A partir de onde o fardo dos dispensários é mais pesado, como confiança é construída gradualmente, então a mesma plataforma é usada na área seguinte — integração, gerenciamento de casos, fluxo de aprovação, cadeia de auditoria — é o que significa “fazer na plataforma”.

Lembre-se:Trata-se de uma mudança humana, de processos e de tecnologia, não de um exercício de aquisição.

XI. COMO ASSOP

Não olhe para a lista funcional, para o controle e cobertura. Nove pontos de inspecção:

• Círculo fechado completo: consulta, investigação, resposta, não conclusão e transmissão
• Domínio cruzadoSoc, IAM, VM, GRC, segurança em nuvem, não apenas SOC
• Neutralidade do fornecedor e amplitude de integração: Ser capaz de combinar as ferramentas que você já tem, não bloquear o cofre de tecnologia
• Pré- definido e personalizável: Há um plano no primeiro dia e pode mudar, não uma caixa preta
• Controlo da propriedade: Níveis de autonomia são rotineiramente definidos, ajustados para o crescimento da confiança
• Pessoa padrão no anel: Operações de alto risco abertas com aprovação
• Auditável, elementos de prova disponíveis: Todas as decisões e acções podem ser revistas e exportadas para auditoria
• Os trabalhos de teste estão ao alcance.: Modificado, áreas cegas cobertas, validado, retorno fluxo de resultados - mas a plataforma não finge que é um motor de teste
• Velocidade de implantação: Alguns dias de resultados reais, não um projeto de longo prazo

Qual é o efeito real?

Blink deu dois casos públicos (dados de fabrico, consultar):

• Segurança humana: 123 corpos de inteligência de caça ameaçados, 11 dos quais requereu revisão manual, 2 dos quais foram descobertas reais que exigiam patches, e corpos inteligentes salvaram equipes mais de 100 horas de trabalho manual
• Uma companhia de seguros global.: fluxo de trabalho de corpos inteligentes expandido de 5 para 30 + e tempo de resolução de alarmes 15 minutos para 1 minuto. Toma. Interno

Blink afirma ter 30.000 + integrador, 500 + modelos de smart-body preset que financiam mais de 100 milhões de dólares. Estes valores têm a posição do fabricante, mas a direcção é clara:O resultado nunca foi “quantos alarmes foram desligados” mas “quantos problemas foram corrigidos”.

No final: uma migração paradigmática

Olhando para trás, a era SIEM resolve "ver", a era SOAR resolve "enforceável" e a idade SOC da IA resolve "julgamento". E ASOP está tentando resolver o último link:Transformar o julgamento em um círculo fechado, permitindo que a ação realmente aterrisse.

Vale mais do que alguns corpos inteligentes.Movendo o foco da operação segura de "dados" para "fluxo de trabalho"Não sei. Quem tem o fluxo de reparação, tem os resultados — a frase nos próximos cinco anos pode ser mais importante do que qualquer detalhe técnico.

Claro, não te percas no conceito. A ASOP é atualmente proposta pelo fabricante e definida pelo fabricante (BlinkOps, Elastic, Optiv, SEC1, tudo nessa direção), e as normas e limites ainda estão em forma. A base real do julgamento é simples:Pode tirar a sua equipa do "Chamar a Polícia" e resolver o verdadeiro problema?

AI SOC dá-lhe uma conclusão, ASOP ajuda a transformá-lo em uma correção.

Referência: BrinkOps, O que é um Programa de Operações de Segurança da Agência, Definição Operacional Inteligente Elastic, Optiv / SEC1 Programa ASOP, CISA Smart Body AI Guide, 2026 Cloud Safety Union Identity Survey