Следующее поколение SOC: AAFO (Agentic Security Operations)

SOC (Security Operations Centre) — термин, который никто не знает как безопасный человек. Но это немного неудобно в течение двух лет: SIEM собирает журналы, терминалы захвата EDR, AI SOC помогает вам с оповещениями - каждое кольцо становится умнее, и чем яснее линия полиции, тем больше людей работает.

В отрасли появилась новая концепция:ASOP (Agentic Security Operations Platform, Smart Body Secure Operating Platform)Я не знаю. Это не другой продукт SOC, а другой угол. Эта статья дает понять: что это такое, и где он находится, как он приземлился, что он должен спросить, прежде чем купить его.

I. ПРОГРАММНЫЙ КОНТЕКСТ: АСО является оперативной моделью

ASO (Agentic Security Operations, Умные операторы)Бизнес модельПусть умное тело ИИ и окончательный рабочий процесс работают вместе, чтобы безопасно работать от сигнала к разрешению.

Внимание, не только тревога. Запрос на идентификацию, обнаружение нарушений, криминалистика соответствия, ошибка конфигурации облака -Любая работа, которая сегодня попадет в ручную очередь.Человек отвечает за установление уровня автономии и всегда сохраняет контроль.

Платформа для запуска этого шаблона - ASOP. Это безопасно.Самолет управленияОн имеет интегрированный, рабочий процесс, интеллект, дело и механизм управления вокруг него.

«Интеллектуальный» и «рабочий поток» различны, но и то, и другое

Это важное различие. Есть много путаницы:

• Умное телоПосмотрите на текущую ситуацию, двигайтесь к объективным рассуждениям и действуйте с помощью одобренных вами инструментов. Это основано на том, что он только что нашел.
• Рабочий столВсегда выполняйте одни и те же шаги, именно то, что вы ему сказали.

И то и другое, и одно из них, нужно дисциплинировать, «где каждая связь разрешена». Вот что значит управлять самолетом.

III. График, который понимает границу ASO

Представьте себе безопасную работу в виде спектра слева направо:

• ЛевыйПровод данных, проглатывание журналов, разложение, хранение - территория SIEM
• Центр• Тестирование, направление, расследование
• Правильно.Восстановление, сдерживание, восстановление и циклы обратной связи, возвращающиеся к тестированию

SOC охватывает только середину.Он считывает тревожные данные, рассуждения и дает вам заключение. Ему не нужно разрешение на написание — поэтому его легко построить, все его делают, и он там останавливается. Результатом системы, которая только заканчивала работу двигателей и ремонтировала людей, было то, что сигнализация закрывалась быстрее, но отставание оставалось таким высоким.

ASO перезаписывает средне-правыйТо есть с момента срабатывания будильника до момента, когда проблема действительно устранена. Он также простирается влево для тестирования - не для запуска тестов (что также является работой инструментов безопасности SIEM / EDR / Log), а для работы по периметру для обнаружения: искажения правил, поиска слепых зон, проверки эффективности тестирования после изменений окружающей среды и перенаправления результатов в правила.

Есть один хороший:В прошлом месяце было введено правило 847 раз, 812 раз автоматически.- Он говорит сам по себе. Именно системы, которые хранят эти данные, могут действовать на эту информацию.

Одно предложение суммирует разницу между тремя инструментами:Инструменты, которые можно увидеть, не могут действовать, инструменты, которые могут только действовать, не могут быть аргументированы, а инструменты, которые можно только аргументировать, бессмысленны.

IV. ПОЧЕМУ "Самолет управления"

За последние 10 лет,Гравитация данных: телеметрия концентрации, видимость, проницательность. Эта логика работала до тех пор, пока объем данных не превысил аналитический потенциал.

Следующие 10 лет последуютГравитация WorkstreamУ кого есть поток ремонта, у него есть результат. Отсутствие видимости операции является дорогостоящей стоимостью мониторинга.

Это объясняет парадоксальное явление:ИИ, задание не уменьшило нагрузку. Это просто сдвинуло работу.Я не знаю.

До ИИ очередь была ограничена человеческими возможностями, поэтому предупреждения низкого риска были подавлены, а весь спектр тестов был закрыт. ИИ взял потолок, и он просто поднялся - десять раз, даже небольшой процент продвижения по службе, означает во много раз больше ручного принятия решений, чем в прошлом. Машина поглощает объем процесса, а не суждения. Новое ограничение называется MTTD (среднее время принятия решения)Я не знаю.

Очередь для принятия решений пуста только тогда, когда есть над чем по-настоящему поработать. Эта штука - самолет управления.

В. Почему не только СОК

Это делает ASO платформой, а не пластиковым инструментом SOC.

Посмотрите, что нужно каждой программе безопасности умного тела:Интеграция, организация, отслеживание случаев, сотрудничество с ручным утверждением, управление и аудит с письменными полномочиямиЯ не знаю. Потребности AI SOC, умные потребности управления лазейками тела, умный IAM, облачная безопасность, GRC, AppSec, охота за угрозами, работа по обнаружению — все нуждаются в одной базе.

Отдельные закупки составляют пять реконструкций одной и той же инфраструктуры: пять цепочек аудита, пять потоков одобрения и пять вещей, которые дают команде комплаенс головную боль. Работает на ASOP, и контекст отвечает взаимностью - активы, экспозиция, личность, история болезни - все в одном месте, питая каждый интеллект.

Вот реальный смысл «умной работы в сфере безопасности»:Не каждая задача имеет умное тело сверху, но плоскость управления, которая нуждается в умном теле при выводе и определенном рабочем процессе.

VI. Как работает ASOP: цикл SUDA

В случае с Блинком, он запускает цикл SUDA--См. (см.), Underwood (понять), Decide (принятие решений), Act (действие)Каждый шаг на пути к управлению и человеческому контролю.

• Видишь?Проглатывание сигнала от любого инструмента на технологическом складе
• Вуд: сущность вывода, эвтрофикация, обезвесивание, ассоциация
• РешатьВыводы, оценки тяжести и рисков, рекомендации по действию
• Акт: сдерживание, искоренение, восстановление, навязанные имплементационной структурой (харизмой)

Основными принципами проектирования являются:Каждый этап проходит на самом дешевом исполнительном этаже, который может его решить.Контрольный список является окончательным и должен быть оценен до его моделирования. Каждая сигнализация работает на передней линии большой модели, которая не может себе позволить - это эквивалентно превращению вашего токена счет в новый SIEM плата за авторизацию.

Одно предложение:Рассуждения разведки, выполнение рабочего потока, обеспечение соблюдения рамок.

VII. ASOP против SOAR против AI SOC

• ВзглядВсе зависит от тебя. Это именно то, что ты сказал. Это не приговор.
• AI SOCЭто хорошая идея, чтобы пойти в клинику, прекратить делать выводы, просто SOC, или как вы получаете его от производителя.
• АСТОППредустановленная программа Smart Body доступна в первый день и может быть настроена, потому что нет двух одинаковых сред.

VIII. Как можно гарантировать контроль? Разница между ограждением и упряжкой

Это вся идея промышленного дизайна, которую стоит скопировать.

Большая часть практики в отрасли заключается в том, что фронтовая модель используется для управления диагностикой, выводами и ответами, а границы написаны быстро.Но быстрый забор уровня - это, по сути, запрос на то, чтобы модель работала должным образом.Это может быть неправильно прочитано, проигнорировано или сказано вокруг.

И... Харнесс — это ограничение на уровне платформы, когда интеллект не может видеть, говорить или рассуждать.: инструмент для локализации роли, карантинного исполнения, ограничение ресурсов, выключатель. Он работает по модели, быстро не может быть введен достаточно.

Разница заключается в следующем:Guardrail просто просит о хорошем поведении, Harness является обязательным.

Blink использует четыре поддающихся проверке механизма доверия:

• Агент Харнесс.Полевые инструменты, сегрегация, ограничения ресурсов, выключатели, все обязательные в соответствии с моделями
• Челленджер ПаттерсонНезависимый претендент атаковал каждое заключение до того, как судья отпустил его.
• Ноль достоверной экспозицииУмная мобильность тела, ключ, удерживаемый хранилищем и контролируемый рабочий процесс
• Власть не является властьюУмные органы могут подвергаться только предварительно отобранным, проверяемым действиям по навыкам и не основаны на постоянном авторитете.

Наблюдение также продолжается. Руководство по ИИ, выпущенное Объединенной союзной группой CISA, рекомендует безопасный подход к проектированию.Думайте об интеллекте как о ненадежной личности, дающей минимальные привилегии.Я не знаю. Практическая версия состоит в том, чтобы спланировать идентификацию умного тела и завершить цепочку аудита до расширения автономии, а не позже. Реальность такова, что большинство организаций еще не достигли этой точки — идентификационный опрос Cloud Safety Alliance в 2026 году показал, что правительство США не в состоянии это сделать.Только 18% компаний имеют высокий уровень уверенности в своих собственных ИАМ для управления своей разведывательной информацией.Я не знаю.

IX. Изменение метрики.

И если ваш SOC все еще сообщает: «Сколько тревог закрывает каждый аналитик в своем классе», вы измеряете процесс, которого больше не существует.

Цель состоит из Предупреждения проверены поворачивать Автономные и человек-на-грузу резолюцииЯ не знаю. Вопрос идет от «сколько раз мы выключаем будильник» до «сколько раз мы его исправляем».

Этот показатель неудобный, потому что он обнажает разрыв. Но это также единственный показатель, который может связать безопасные эксплуатационные входы и результаты безопасности.

Как добраться: путь к зрелости

Используйте не выключатель, это путь:

AI Auxiliary Smart Leadership and Approval Framework для самостоятельной работы

Доверие зарабатывается, а не награждается. Начиная с того места, где бремя диспансеров наиболее тяжелое, поскольку доверие строится постепенно, то та же платформа используется в следующей области — интеграция, управление делами, поток одобрения, цепочка аудита — вот что значит «делать на платформе».

Помните:Это человеческий, технологический и технологический сдвиг, а не процесс закупок.

XI. КАК ВЫПУСКАТЬ

Не смотрите на функциональный список, на контроль и покрытие. Девять пунктов проверки:

• Полный замкнутый кругКонсультация, расследование, ответ, а не заключение и передача
• Кросс-доменSoc, IAM, VM, GRC, облачная безопасность
• Нейтралитет и интеграция поставщиковУметь сопоставлять инструменты, которые у вас уже есть, а не блокировать хранилище технологий
• Настраиваемый и настраиваемыйЕсть план на первый день, и он может измениться, а не черный ящик.
• Контроль за владениемУровни автономности обычно устанавливаются с учетом роста доверия
• Человек по умолчанию в рингеОперации высокого риска, открытые с одобрения
• Аудиторские, имеющиеся доказательстваКаждое решение и действие может быть пересмотрено и экспортировано для аудита.
• Испытательные работы находятся в диапазоне.Модифицированные, закрытые слепые зоны, проверенные, возвращенные потоки результатов - но платформа не претендует на то, что это испытательный двигатель
• Скорость развертыванияНесколько дней реальных результатов, а не долгосрочный проект

Какой реальный эффект?

Blink представил два публичных дела (производственные данные).

• Человеческая безопасность123 разведывательных органа, 11 из которых требовали ручной проверки, 2 из которых были настоящими открытиями, требующими патчей, а интеллектуальные тела спасали команды более 100 часов ручной работы.
• Мировая страховая компания.Рабочий поток интеллектуальных тел расширился с 5 до 30+ и время разрешения тревог 15 минут до 1 минуты. Вот. Внутренний

Blink утверждает, что имеет 30 000 + интегратор, 500 + предустановленные шаблоны умного тела, которые финансируют более 100 миллионов долларов. Эти цифры отражают позицию производителя, но направление четкое:В результате никогда не было «сколько тревог было отключено», а «сколько проблем было исправлено».

В конце: парадигма миграции

Оглядываясь назад, эра SIEM решает «видеть», эра SOAR решает «исполняемые», а эпоха AI SOC решает «суждение». И ASOP пытается решить последнюю ссылку:Превращение суждения в замкнутый круг, позволяющий действиям действительно приземлиться.

Это стоит больше, чем несколько разумных тел.Перемещение фокуса безопасной работы с «данных» на «рабочий поток»Я не знаю. Тот, у кого есть ремонтный поток, имеет результаты — фраза в ближайшие пять лет может оказаться важнее любых технических деталей.

Конечно, не теряйтесь в концепции. ASOP в настоящее время предлагается производителем и определяется производителем (BlinkOps, Elastic, Optiv, SEC1, все в этом направлении), а стандарты и границы все еще в форме. Реальная основа суждения проста:Может ли это вытащить вашу команду из «Звонка полиции» и решить реальную проблему?

AI SOC дает вам заключение, ASOP помогает превратить его в исправление.

Справочник: BrinkOps, Что такое программа управления безопасностью Агентства, Упругое определение интеллектуальной деятельности, Optiv / SEC1 ASOP, CISA Smart Body AI Guide, 2026 Cloud Safety Union Identity Survey