Următoarea generație de SOC cum să-l construiască: AAFO (Agentic Security Operations)

Termenul SOC (Centrul de operațiuni de securitate) este un termen cu care nimeni nu este familiarizat ca persoană sigură. Dar este un pic ciudat în cei doi ani: SIEM colectează jurnale, terminale de captare EDR, AI SOC vă ajută cu alertele - fiecare inel devine mai inteligent, și mai mult linia de poliție este clar, mai mulți oameni lucrează.

Astfel, un nou concept a apărut în industrie:ASOP (Platforma de operațiuni de securitate genetică, platforma de operare securizată a organismului inteligent)Nu ştiu. Nu este un alt produs SOC, ci un unghi diferit. Acest articol arată clar: ce este şi unde este, cum a aterizat, ce ar trebui să ceară înainte de a o cumpăra.

I. CONTEXT PREGĂTIT: ASO este un model operațional

ASO (operaţiuni de securitate a agenţilor, operatori inteligenţi)Model de afaceri: lasă corpul inteligent al AI și fluxul de lucru definitiv să lucreze împreună pentru a lucra în siguranță de la semnal la rezoluție.

Atenţie, nu doar alarma SOC. Cerere de identitate, detectare a încălcării, verificare a conformității, eroare de configurare a norilor -Orice lucru care va cădea în coada manuală astăzi.. Persoana este responsabil pentru stabilirea nivelului de autonomie și păstrarea întotdeauna controlul.

Platforma pentru rularea acestui model este ASOP. E sigur.Avion de controlAre un mecanism integrat, de lucru, de inteligenţă, de caz şi de guvernanţă în jurul acestuia.

II. "Intelectual" şi "stream de lucru" sunt diferite, dar ambele

E o distincţie crucială. E multă confuzie:

• AI corp inteligent: Uită-te la situația actuală, trece la raționament obiectiv, și să acționeze prin instrumentele pe care le-ați aprobat. Se bazează pe ceea ce tocmai a găsit.
• Fluxul de lucruMereu faci aceiaşi paşi, exact ce i-ai spus.

Ambele dintre ele, precum și unul dintre ele, trebuie să fie disciplinat Asta înseamnă să controlezi avionul.

III. Un grafic care înțelege limita ASO

Imaginați-vă o funcționare sigură ca un spectru de la stânga la dreapta:

• StângConducta de date, ingestie jurnal, descompunere, depozitare - teritoriul SIEM
• Centru• Testare, sesizare, anchetă
• Corect.Buclele de recuperare, izolare, recuperare și feedback care revin la testare

AI SOC acoperă doar mijlocul.Citeşte datele alarmei, raţionamentul şi îţi dă o concluzie. Ea nu are nevoie de permisiunea de a scrie Rezultatul unui sistem care a încheiat doar motoarele și reparate oamenii, a fost că alarmele au fost închise mai repede, dar backlog-ul a rămas atât de mare.

ASO Suprascrieți mijlocul la dreaptaAdică, din momentul în care alarma este declanşată până în momentul în care problema este cu adevărat rezolvată. De asemenea, se întinde spre stânga pentru testare - nu pentru efectuarea de teste (care este, de asemenea, activitatea instrumentelor de securitate SIEM/EDR/Log), ci pentru operarea perimetrelor pentru a detecta: raportarea greșită a normelor, căutarea zonelor oarbe, verificarea dacă testarea este încă eficientă după schimbările de mediu și redirecționarea constatărilor în norme.

Uite una bună:O regulă a fost declanșată de 847 de ori luna trecută, 812 de ori automat.- Vorbeşte în sine. Sistemele sunt cele care dețin aceste date care pot acționa pe baza acestor informații.

O propoziţie rezumă diferenţa dintre trei instrumente:Instrumentele care nu pot fi văzute decât nu pot acţiona, instrumentele care nu pot acţiona decât nu pot fi motivate, iar instrumentele care pot fi motivate sunt lipsite de creier.

IV. DE CE

În ultimii 10 ani,Gravitația datelor: telemetrie de concentrare, vizibilitate, percepție. Această logică a funcționat până când cantitatea de date a depășit capacitatea analitică.

Următorii 10 ani vor urmaGravitația fluxului de lucruOricine are fluxul de reparații, el are rezultatul. Lipsa vizibilității operațiunii este un cost scump de monitorizare.

Aceasta explică un fenomen contraintuitiv:AI, misiunea nu a redus volumul de muncă. Tocmai a mutat slujba.Nu ştiu.

Înainte de AI, coada a fost limitată la capacitatea umană, astfel încât alertele cu risc scăzut au fost suprimate și întreaga gamă de teste a fost închisă. AI a luat tavanul, și tocmai a crescut -- de zece ori, chiar și o rată mică de promovare, înseamnă de multe ori mai multe decizii manuale decât în trecut. Aparatul absoarbe cantitatea de proces, nu judecata. Noua constrângere se numeşte MTTD (timpul mediu până la decizie, timpul mediu de decizie)Nu ştiu.

Cozile de luare a deciziilor sunt goale doar atunci când există ceva să acționeze cu adevărat pe. Chestia aia e avionul de control.

V. De ce nu doar SOC

Acest lucru face ASO o platformă, nu un instrument de plastic SOC.

Vezi ce are nevoie fiecare program inteligent de siguranță a corpului:Integrare, organizare, urmarire caz, colaborare manuala de aprobare, guvernare si audit cu autoritatea scrisaNu ştiu. AI SOC are nevoie de, nevoile inteligente de gestionare a lacunelor corpului, IAM inteligent, securitatea norilor, GRC, Appsec, vânătoare amenințare, munca de detectare - toate au nevoie de aceeași bază.

Achizițiile separate se ridică la cinci reconstrucții ale aceleiași infrastructuri: cinci lanțuri de audit, cinci fluxuri de aprobare și cinci lucruri care dau echipei de conformitate o durere de cap. Rulează pe un ASOP, iar contextul este reciproc - active, expunere, identitate, caz istorie sunt toate într-un singur loc, hrănirea fiecare inteligență.

Acesta este adevăratul sens al "a face munca de securitate inteligentă":Nu orice sarcină are un corp inteligent deasupra, ci un plan de control, care are nevoie de un corp inteligent atunci când este dedus, și un flux de lucru definit.

VI. Cum acţionează ASOP: Bucla SUDA

În cazul Blink, se execută ciclul SUDA -A se vedea (a se vedea), Underwood (înțelegere), Decide (de luare a deciziilor), Act (acțiune)Fiecare pas al drumului există guvernare şi control uman.

• Vezi?: Ingestia unui semnal de la orice instrument dintr-un depozit tehnologic
• Underwood: entitate de retragere, eutrofizare, degajare, asociere
• Decide: Concluzii, evaluări ale severității și riscurilor, recomandări de acțiune
• Actul: izolare, eradicare, recuperare, impusă de cadrul de implementare (haritate)

Principiile fundamentale de proiectare sunt:Fiecare scenă funcţionează pe cel mai ieftin etaj executiv care îl poate rezolva.Lista de verificare este definitivă și trebuie să fie judecată înainte de modelare. Fiecare alarmă are un model de primă linie care nu-şi poate permite -- este echivalent cu transformarea facturii tale simbolice într-o nouă taxă de autorizare SIEM.

O propoziţie:Raţionamente de informaţii, execuţie, aplicare a cadrului.

VII. ASOP vs SOAR vs AI SOC

• SOARETotul depinde de tine. Este exact ceea ce ai spus. Nu e o judecată.
• AI SOCE o idee bună să mergi la clinică, să nu mai tragi concluzii, doar SOC, sau modul în care o obţii de la producător.
• ASP: Un program body preset cross-domeniu este disponibil în prima zi și poate fi personalizat - deoarece nu există două medii arata la fel

VIII. Cum poate fi asigurat controlul? Diferența dintre balustradă și ham

Este ideea de design industrial care cred că merită copiat.

Majoritatea practicilor din industrie sunt că un model de primă linie este utilizat pentru a gestiona diagnosticul, concluziile și răspunsurile, iar limitele sunt scrise prompt.Dar gardul de nivel prompt este în esență o cerere pentru un model pentru a efectua în mod corespunzător.— It can be misread, ignored or said around.

Şi... Harness este o constrângere la nivel de platformă unde inteligenţa nu poate vedea, vorbi sau raţiune.: instrument pentru teritorializarea rolurilor, executarea carantinei, capac de resurse, întrerupător. Se execută sub model, prompt nu poate fi injectat suficient.

Diferenţa este:Guardrail cere doar un comportament bun, Harness este obligatorie.

Clipește-l pune pe teren în patru mecanisme de încredere verificabile:

• Agent Harness.Unelte de teren, segregare, capace de resurse, întrerupătoare, toate obligatorii sub modele
• Challenger Patterson: Un concurent independent a atacat fiecare concluzie înainte ca judecătorul să-i dea drumul
• Expunere credibilă zero: mobilitate inteligentă a corpului, cheie deținută de fluxul de lucru controlat și bolta
• Autoritatea nu Autoritatea: Organismele inteligente pot fi supuse doar unei acţiuni de competenţe pre-ecologice, auditabile şi nu se bazează pe autoritatea permanentă

Supravegherea ţine pasul. Ghidul AI emis de Grupul comun CISA recomandă o abordare de proiectare sigură.Gândeşte-te la inteligenţă ca la o identitate nedemnă de încredere, oferind privilegii minime.Nu ştiu. Versiunea practică este de a planifica identitatea corpului inteligent și lanțul complet de audit înainte de extinderea autonomiei, mai degrabă decât mai târziu. Realitatea este că majoritatea organizaţiilor nu au ajuns încă la acest punct - un studiu de identificare al Alianţei pentru Siguranţa Norului din 2026 a constatat că guvernul SUA nu este în măsură să facă acest lucru.Doar 18% dintre companii au un nivel ridicat de încredere în propriul lor IAM pentru a gestiona identitatea lor de informații.Nu ştiu.

IX.

Iar dacă SOC-ul tău încă raportează, "Cât de multe alarme se închide fiecare analist în clasa sa," măsori un proces care nu mai există.

Ţinta este de la Alerte Triaged Întoarce-te. Rezoluţii autonome şi umane privind sarcinaNu ştiu. Întrebarea merge de la

Acest indicator este inconfortabil deoarece expune decalajul. Dar este, de asemenea, singurul indicator care poate face legătura între intrările operaționale sigure și rezultatele privind siguranța.

Cum să aterizezi: o cale spre maturitate

Nu folosi un comutator, este o cale:

Artisanal Automation AI Auxiliar Smart Leadership and Aprobation Framework for Auto-Operation

Încrederea se câştigă, nu se acordă. Începând de la locul în care sarcina dispensarelor este cea mai grea, deoarece încrederea este construită treptat, atunci aceeași platformă este utilizată în următoarea zonă

Ţine minte:Aceasta este o schimbare umană, proces și tehnologie, nu un exercițiu de achiziție.

XI. CUM SĂ ASSOP

Nu te holba la lista funcţională, la control şi acoperire. Nouă puncte de inspecţie:

• Cerc complet închis: consultare, anchetă, răspuns, nu o concluzie și transmitere
• Domeniul de aplicareSoc, IAM, VM, GRC, securitatea norilor, nu doar SOC
• Neutralitatea şi lăţimea integrării vânzătorilor: Fi capabil să se potrivească cu instrumentele pe care le au deja, nu bloca bolta de tehnologie
• Preset și personalizabil: Există un plan în prima zi și se poate schimba, nu o cutie neagră
• Controlul proprietății: Nivelurile de autonomie sunt stabilite în mod obișnuit, ajustate pentru creșterea încrederii
• Persoana implicită în inel: Operațiuni cu risc ridicat deschise cu aprobare
• Auditabile, dovezi disponibile: Fiecare decizie și acțiune pot fi revizuite și exportate pentru audit
• Testele sunt în raza de acţiune.: Zone oarbe modificate, acoperite, validate, flux returnat de rezultate - dar platforma nu pretinde că este un motor de testare
• Viteza de desfășurare: Câteva zile de rezultate reale, nu un proiect pe termen lung

Care este efectul real?

Clipirea a oferit două cazuri publice (date de prelucrare, a se vedea):

• Securitatea umană: 123 organisme de informații de vânătoare amenințate, dintre care 11 au necesitat revizuire manuală, dintre care două au fost descoperiri reale care necesită patch-uri, și organisme inteligente salvat echipe mai mult de 100 de ore de muncă manuală
• O companie globală de asigurări.: fluxul de lucru al corpurilor inteligente extins de la 5 la 30 + și timpul de soluționare a alarmelor 15 minute până la 1 minut. Aici. Intern

Clipește susține a avea 30.000 + integrator, 500+preset șabloane smart-corp care finanțează peste 100 milioane dolari. Aceste cifre poartă poziția producătorului, dar direcția este clară:Rezultatul nu a fost niciodata ? Câte alarme au fost oprite dar ? Câte probleme au fost rezolvate.

La final: o migraţie paradigmă

Privind înapoi, era SIEM rezolvă "a se vedea," era SOARE rezolvă "inforcedabil" și vârsta AI SOC rezolvă "judecată." Şi ASOP încearcă să rezolve ultima legătură:Transformând judecata într-un cerc închis, permiţând acţiunii să aterizeze cu adevărat.

Valorează mai mult decât câteva corpuri inteligente.Mutarea focalizării funcționării în condiții de siguranță de la "date" la "stream de lucru"Nu ştiu. Oricine are fluxul de reparații, are rezultatele

Desigur, nu te pierde în conceptul. ASOP este în prezent propus de producător și definit de producător (BlinkOps, Elastic, Optiv, SEC1, toate în această direcție), iar standardele și limitele sunt încă în formă. Baza reală a judecăţii este simplă:Ar putea să-ţi scoată echipa din "Call of Police" şi să rezolve adevărata problemă?

AI SOC vă oferă o concluzie, ASOP vă ajută să-l transforme într-un fix.

Referinţă: BrinkOps, What Is an Agency Security Operations Program, Elastic Smart Operating Definition, Optiv / SEC1 ASOP Program, CISA Smart Body AI Guide, 2026 Cloud Safety Union Identity Survey