Nästa generation av SOCs hur man bygger det: AAFO (Agentic Security Operations)

Termen SOC (Security Operations Centre) är en term som ingen känner till som en säker person. Men det är lite besvärligt under de två åren: SIEM samlar in loggar, EDR-fångsterminaler, AI SOC hjälper dig med varningarna - varje ring blir smartare, och ju mer polislinjen är klar, desto fler människor arbetar.

Ett nytt koncept uppstod i branschen:ASOP (Agentic Security Operations Platform, Smart Body Secure Operating Platform)Jag vet inte. Det är inte en annan SOC-produkt, utan en annan vinkel. Den här artikeln gör det klart: vad det är, och var det är, hur det landade, vad det borde fråga innan du köper det.

ASO är en operativ modell

ASO (Agentic Security Operations, Smart Operators)FöretagsmodellLåt AI:s smarta kropp och definitiva arbetsflöde arbeta tillsammans för att fungera säkert från signal till upplösning.

Uppmärksamhet, inte bara SOC larm. Identitetsbegäran, brottsdetektering, överensstämmelseforensik, molnkonfigurationsfel -Allt arbete som kommer att falla i manuell kö idag.Personen är ansvarig för att fastställa nivån av autonomi och alltid behålla kontrollen.

Plattformen för att köra detta mönster är ASOP. Det är säkert.KontrollplanDen har en integrerad, arbetsflöde, intelligens, fall och styrning mekanism runt den.

"Intellektuell" och "workstream" är olika, men båda

Det är en avgörande skillnad. Det finns mycket förvirring:

• AI Smart BodyTitta på den nuvarande situationen, gå mot objektiva resonemang och agera genom de verktyg du godkänt. Det är baserat på vad det bara hittade.
• WorkstreamAlltid köra samma steg, precis vad du sa till honom.

Båda och en av dem måste disciplineras "där varje länk är tillåten". Det är vad det innebär att styra planet.

III. En graf som förstår ASO-gränsen

Föreställ dig säker drift som ett spektrum från vänster till höger:

• VänsterData ledning, log ingestion, sönderdelning, lagring - SIEM territorium
• Centrerar• Testning, remiss, utredning
• Rätt rättÅterhämtning, inneslutning, återhämtning och återkopplingsslingor som flyter tillbaka till testning

AI SOC täcker bara mitten.Det läser alarmdata, resonemang och ger dig en slutsats. Det behöver inte tillstånd att skriva - det är därför det är lätt att bygga, alla gör det, och det stannar där. Resultatet av ett system som bara avslutade motorerna och reparerade människorna var att larmerna stängdes snabbare, men eftersläpningen förblev så hög.

ASO överskriv mitten till högerDet vill säga, från det ögonblick larmet utlöses till den tid problemet är verkligen fast. Det sträcker sig också till vänster för testning - inte för körprov (vilket också är SIEM / EDR / log säkerhetsverktyg), men för att driva omkretsarna för att upptäcka: felrapportering av regler, söka efter blinda områden, kontrollera om testning fortfarande är effektiv efter miljöförändringar och omdirigera fynd i reglerna.

Det finns en bra:En regel utlöstes 847 gånger förra månaden, 812 gånger automatiskt.- Det talar i sig själv. Det är systemen som håller dessa resultatdata som kan agera på denna information.

En mening sammanfattar skillnaden mellan tre verktyg:De verktyg som endast kan ses kan inte agera, de instrument som bara kan agera kan inte resoneras, och de instrument som endast kan resoneras är hjärnlösa.

IV. Varför "Control Plane"

Under de senaste 10 åren,Data GravityKoncentrationstelemetri, synlighet, insikt. Denna logik fungerade tills mängden data översteg analytisk kapacitet.

De kommande 10 åren kommer att följaWorkstream GravityDen som har reparationsflödet, han har resultatet. Bristen på synlighet för operationen är en dyr övervakningskostnad.

Detta förklarar ett kontraintuitivt fenomen:AI, uppdraget minskade inte arbetsbelastningen. Det flyttade bara jobbet.Jag vet inte.

Innan AI var köen begränsad till mänsklig kapacitet, så lågriskvarningar undertrycktes och hela utbudet av tester stängdes. AI tog taket, och det gick bara upp - tio gånger, även en liten kampanjfrekvens, betyder många gånger mer manuellt beslutsfattande än tidigare. Maskinen absorberar mängden process, inte domen. Den nya begränsningen kallas MTTD (Mean Time to Decision, genomsnittlig beslutstid)Jag vet inte.

Beslutsfattande köer är tomma endast när det finns något att verkligen agera på. Det är kontrollplanet.

V. Varför inte bara SOC

Detta gör ASO till en plattform, inte ett plast SOC-verktyg.

Se vad alla smarta säkerhetsprogram behöver:Integration, organisation, fallspårning, manuellt godkännandesamarbete, styrning och revision med skriftlig myndighetJag vet inte. AI SOC behöver, smarta kroppsloophole management behov, smart IAM, molnsäkerhet, GRC, AppSec, hot jakt, detekteringsarbete - alla behöver samma bas.

Separata inköp uppgår till fem rekonstruktioner av samma infrastruktur: fem revisionskedjor, fem godkännandeströmmar och fem saker som ger efterlevnadsteamet huvudvärk. Körs på en ASOP, och sammanhanget är ömsesidigt - tillgångar, exponering, identitet, fallhistorik är alla på ett ställe, matar varje intelligens.

Detta är den verkliga meningen med att göra säkerhetsarbete smart:Inte varje uppgift har en smart kropp på toppen, men ett kontrollplan, som behöver en smart kropp när den härleds och ett bestämt arbetsflöde.

VI. Hur ASOP fungerar: SUDA loop

När det gäller Blink kör den SUDA-cykelnSe (se), Underwood (förstå), beslut (beslutsfattande), Act (action)Varje steg på vägen finns styrning och mänsklig kontroll.

• SeIntag av en signal från något verktyg i ett tekniklager
• UnderwoodUttagsenhet, eutrofiering, deweighting, association
• BeslutSlutsatser, bedömningar av svårighetsgrad och risker, rekommendationer för åtgärder
• LagenInnehåll, utrotning, återhämtning, ålagd av genomföranderamen (hårdhet)

Kärndesignprinciperna är:Varje steg går på det billigaste golvet som kan lösa det.Checklistan är definitiv och måste bedömas innan den modelleras. Varje larm kör en front-line stor modell som inte har råd - det motsvarar att förvandla din tokenräkning till en ny SIEM-tillståndsavgift.

En mening:Intelligence resonemang, arbete stream execution, verkställighet ramverk verkställighet.

VII. SOAR vs AI SOC

• SOARDet är allt upp till dig. Det är precis vad du sa det. Det är inte en dom.
• AI SOCDet är en bra idé att gå till kliniken, sluta dra slutsatser, bara SOC, eller hur du får det från tillverkaren.
• ASOPEtt generellt förinställt smart kroppsprogram är tillgängligt på den första dagen och kan anpassas - eftersom inga två miljöer ser likadana ut.

VIII. Hur kan kontrollen vara säker? Skillnaden mellan vakträcke och sele

Det är hela den industriella designidén som jag tycker är värt att kopiera.

De flesta av metoderna i branschen är att en front-line modell används för att hantera diagnos, slutsatser och svar, och gränser skrivs i snabb takt.Men snabb nivå staketet är i huvudsak en begäran om en modell att utföra korrekt.Det kan vara felaktigt, ignorerat eller sagt runt.

Och... Harness är en plattformsnivåbegränsning där intelligens kan se, prata eller förnuft.: verktyg för roll territorialisering, karantän avrättning, resursmössa, brytare. Den går under modellen, snabb kan inte injiceras tillräckligt.

Skillnaden är:Guardrail ber bara om bra beteende, Harness är bindande.

Blink sätter den på marken i fyra kontrollerbara förtroendemekanismer:

• Agent Harness.Fältverktyg, segregation, resurskeps, brytare, alla obligatoriska under modeller
• Challenger PattersonEn oberoende utmanare attackerade varje slutsats innan adjudicatorn låter det gå
• Zero Credential ExponeringSmart kroppsmobilitet, nyckel som hålls av valv och kontrollerat arbetsflöde
• Myndigheten inte myndighetSmarta kroppar kan endast vara föremål för förhandsgranskade, revisionsbara färdigheter och är inte baserade på stående myndighet

Övervakning håller också upp. AI-guiden utfärdad av CISA Joint Ally Group rekommenderar en säker designmetod.Tänk på intelligensen som en opålitlig identitet, vilket ger minimala privilegier.Jag vet inte. Den praktiska versionen är att planera den smarta kroppsidentiteten och slutföra revisionskedjan innan den expanderar autonomin, snarare än senare. Verkligheten är att de flesta organisationer ännu inte har nått denna punkt - en identifieringsundersökning av Cloud Safety Alliance år 2026 fann att den amerikanska regeringen inte har möjlighet att göra det.Endast 18 procent av företagen har hög förtroende för sin egen IAM för att hantera sin intelligensidentitet.Jag vet inte.

IX. Metrics förändras.

Och om din SOC fortfarande rapporterar, "Hur många larm varje analytiker stänger i sin klass", mäter du en process som inte längre existerar.

Målet är från Varningar Triaged Turn Autonoma och Human-on-the-load resolutionerJag vet inte. Frågan går från "hur många gånger vi stänger av larmet" till "hur många gånger vi fixar det".

Denna indikator är obekväm eftersom den avslöjar gapet. Men det är också den enda indikatorn som kan koppla säkra operativa ingångar och säkerhetsutfall.

Hur man landar: en väg till mognad

Använd inte en switch, det är en väg:

Artisanal Automation AI Auxiliary Smart Leadership and Approval Framework för självoperation

Förtroende tjänas, inte tilldelas. Från där bördan av dispensärer är mest tung, som förtroende byggs gradvis, används samma plattform i nästa område - integration, fallhantering, godkännandeflöde, revisionskedja - det är vad det innebär att "göra på plattformen".

Kom ihåg:Detta är ett mänskligt, process- och teknikskifte, inte en upphandlingsövning.

XI. HUR ASSOP

Stirra inte på den funktionella listan, vid kontroll och täckning. Nio inspektionspunkter:

• Full stängd cirkelsamråd, utredning, svar, inte en slutsats och överföring
• Cross-domainSoc, IAM, VM, GRC, molnsäkerhet, inte bara SOC
• Leverantörsneutralitet och integrationsbreddKan matcha de verktyg du redan har, inte låsa teknikvalvet
• Förinställd och anpassningsbarDet finns en plan på första dagen och det kan ändras, inte en svart låda
• ÄgarkontrollAutonomi nivåer rutinmässigt fastställs, justeras för förtroende tillväxt
• Standard person i ringHögriskverksamhet öppen med godkännande
• Auditerbara, tillgängliga bevisVarje beslut och åtgärder kan granskas och exporteras för revision
• Testarbeten är i intervallet.Modifierade, täckta blinda områden, validerade, returnerade resultatflöden - men plattformen låtsas inte att det är en testmotor
• UtplaceringshastighetNågra dagar av verkliga resultat, inte ett långsiktigt projekt

Vad är den verkliga effekten?

Blink gav två offentliga fall (tillverkningsdata, hänvisa till):

• Human säkerhet123 hotade jaktunderrättelseorgan, varav 11 krävde manuell granskning, varav 2 var verkliga upptäckter som kräver fläckar, och intelligenta kroppar sparade lag mer än 100 timmar av manuellt arbete.
• Ett globalt försäkringsbolag.arbetsflödet av intelligenta kroppar expanderade från 5 till 30 + och tid för upplösning av larm 15 minuter till 1 minut. Här. Interna

Blink hävdar att ha 30 000+integrator, 500+preset smart-body mallar som finansierar över 100 miljoner dollar. Dessa siffror bär tillverkarens position, men riktningen är tydlig:Resultatet var aldrig "hur många larm har blivit avstängda" men "hur många problem har åtgärdats".

I slutet: en paradigm migration

Ser tillbaka, SIEM-eran löser "se", SOAR-eran löser "förstärkbar" och AI SOC-åldern löser "dömande". ASOP försöker lösa den sista länken:Att förvandla domen till en sluten cirkel, så att handlingen verkligen kan landa.

Det är värt mer än några intelligenta kroppar.Flytta fokus på säker drift från "data" till "workstream"Jag vet inte. Den som har reparationsflödet, har resultaten - frasen under de kommande fem åren kan vara viktigare än någon teknisk detalj.

Självklart, gå inte vilse i konceptet. ASOP föreslås för närvarande av tillverkaren och definieras av tillverkaren (BlinkOps, Elastic, Optiv, SEC1, allt i denna riktning), och standarder och gränser är fortfarande i form. Den verkliga grunden för dom är enkel:Kan det få ditt team ur polisen och lösa det verkliga problemet?

AI SOC ger dig en slutsats, ASOP hjälper dig att göra det till en fix.

BrinkOps, What Is an Agency Security Operations Program, Elastic Smart Operating Definition, Optiv / SEC1 ASOP Program, CISA Smart Body AI Guide, 2026 Cloud Safety Union Identity Survey