Bir sonraki SOS nesli nasıl inşa edilir: AAFO (Agentic Security Operations)

SOS (Güvenlik Operasyon Merkezi) terimi, kimsenin güvenli bir kişi olarak aşina olmadığı bir terimdir. Ancak iki yılda biraz garip: SIEM girişleri toplar, EDR yakalama terminalleri, AI SOC sizi alarmlarla yardımcı olur - her yüzük daha akıllı hale gelir ve daha fazla insan işi açıktır.

Bu yüzden endüstride yeni bir konsept ortaya çıktı:ASOP (Agentic Security Operations Platform, Smart Body Secure İşletim Platformu)Bilmiyorum. Başka bir SOS ürünü değil, farklı bir açı. Bu makale açık yapar: ne olduğu ve nerede olduğu, nasıl indiği, satın almadan önce ne istemesi gerektiği.

I. PREPARED CONTEXT: ASO operasyonel bir model

ASO (Agentic Security Operations, Smart Operators)Business model: AI'nın akıllı vücudu ve kesin iş akışı, sinyalden karara güvenli bir şekilde çalışmak için birlikte çalışalım.

Dikkat, sadece SOS alarmı değil. Kimlik isteği, ihlal tespiti, uyumlu adliler, bulut yapılandırma hatası -Bugün manuel kuyruklara düşecek herhangi bir çalışma.. Kişi, özerklik seviyesini belirlemek ve her zaman kontrolü korumaktan sorumludur.

Bu modeli çalıştırma platformu ASOP'dur. Güvenli.Kontrol uçağıBu, etrafındaki entegre, iş akışı, istihbarat, vaka ve yönetim mekanizmasına sahiptir.

II. "Intellectual" ve "workstream" farklıdır, ancak ikisi de farklıdır.

Bu çok önemli bir ayrım. Çok fazla karışıklık var:

• AI Smart Body: Mevcut duruma bakın, objektif sebeplere doğru hareket edin ve onayladığınız araçlarla hareket edin. Sadece bulduğu şeye dayanmaktadır.
• Workstream: Her zaman aynı adımları çalıştırın, tam olarak ona söylediğin şey.

Her ikisi de ve bunlardan biri, “her bağlantının izin verildiği yerde” disiplinli olmalıdır. Bu, uçağı kontrol etmek anlamına geliyor.

III. ASO sınırını anlayan bir grafik

Soldan sağa bir spektrum olarak güvenli bir işlem düşünün:

• En solData conduit, log ingestion, decomposition, depolama - SIEM bölgesi
• Merkezi Merkez Merkezi• Test, yönlendirme, soruşturma
• DoğruKurtarma, barındırma, kurtarma ve geri bildirimler döngüleri test etmeye geri döndü

AI SOC sadece ortayı kapsar.alarm verileri, nedenleme ve size bir sonuç verir. Yazma iznine gerek yok - bu yüzden inşa etmek kolay, herkes yapıyor ve orada durur. Sadece motorları sonuçlandıran ve insanları tamir eden bir sistemin sonucu, alarmların daha hızlı kapatıldığıydı, ancak arkalog o kadar yüksek kaldı.

ASO Over write mid-to-rightBu, andan itibaren alarm gerçekten sabit olduğunda tetiklenir. Aynı zamanda test için soluna da yoğunlaşır - çalışma testleri için değil (bu aynı zamanda SIEM/EDR/Log güvenlik aletlerinin çalışmasıdır), ancak perimeters'ı tespit etmek için: kuralların yanlış olması, testlerin çevresel değişikliklerden sonra ve yeniden rotalama bulguların kurallara uygun olup olmadığını doğrulayın.

İyi bir tane var:Bir kural geçen ay 847 kez tetiklendi, 812 kez otomatik olarak.- Kendinde konuşuyor. Bu bilgiler üzerinde hareket edebilecek bu sonuçları verileri tutan sistemlerdir.

Bir cümle üç alet arasındaki farkı özetliyor:Sadece görülebilen araçlar hareket edemez, sadece harekete geçebilecek araçlar ve sadece sebep olabilecek aletler beyinsizdir.

IV. "N Control Uçağı"

Son 10 yılda,Data GravityvityTelmetri, görünürlük, anlayış. Bu mantık, veri miktarı analitik kapasiteyi aştığına kadar çalıştı.

Sonraki 10 yıl takip edecekWorkstream Gravity“Kimin onarım akışı vardır, sonucu vardır. Operasyonun görünürlük eksikliği pahalı bir izleme maliyetidir.

Bu, bir karşıt fenomen açıklıyor:AI, atama iş yükünü azaltmadı. Sadece işi taşıdı.Bilmiyorum.

AI'dan önce, kuyruk insan kapasitesi ile sınırlıydı, bu kadar düşük riskli uyarılar bastırıldı ve tüm testler kapalıydı. AI tavanı aldı ve sadece yukarı gitti - on kez, küçük bir promosyon oranı bile geçmişten çok daha manuel karar alma anlamına geliyor. Makine, süreç miktarını absorbe eder, yargı değil. Yeni kısıtlama denir MTTD (Mean Time to Decision, ortalama karar süresi)Bilmiyorum.

Karar kuyrukları sadece gerçekten hareket edecek bir şey olduğunda boş. Bu şey kontrol uçağıdır.

V. NEDEN JUST SOC

Bu ASO bir platform yapar, plastik bir SOS aracı değil.

Her akıllı vücut güvenlik programının neye ihtiyacı olduğunu görün:Bütünleşme, organizasyon, vaka izleme, manuel onay işbirliği, yönetim ve yazılı otorite ile denetimBilmiyorum. AI SOC ihtiyacı, akıllı vücut döngüsü yönetimi ihtiyacı, akıllı IAM, bulut güvenliği, GRC, AppSec, tehdit avlanması, algılama çalışması - hepsi aynı temele ihtiyaç duyar.

Aynı altyapının beş yeniden inşasına ayrı satın alım miktarı: 5 denetim zinciri, uyumluluk ekibine bir baş ağrısı veren beş onay akışı ve beş şey. ASOP'ta Runs and the context is reciprocated - varlıklar, maruziyet, kimlik, vaka tarihi tek bir yerdedir, her istihbaratı beslemek.

Bu, “güvenlik işi akıllı”nın gerçek anlamıdır:Her görevin en üstte akıllı bir vücudu yoktur, ancak bir kontrol uçağı, hangi akıllı bir vücuda çarpıldığında ve kesin bir iş akışına ihtiyaç duyar.

VI. ASOP nasıl çalışır: SUDA döngü

Blink durumunda, SUDA döngüsü-- çalışırSee (see), Underwood (göçmen), Karar (decision-making), Act (action)Her adım yönetişim ve insan kontrolü vardır.

• See See See See See: Bir teknoloji deposunda herhangi bir araçtan sinyalin alınması
• Underwood: Değişen varlık, eutrophication, deweighting, birliği
• Karar Karar Karar Kararlarına Karar Karar Karar Karar KararSonuçlar, ciddiyet ve risklerin değerlendirmeleri, eylem önerileri
• Act Act: Uygulama çerçevesi (harness) tarafından uygulanan, ortadan kaldırma, kurtarma.

Temel tasarım ilkeleri şunlardır:Her aşama onu çözebilecek en ucuz yönetici zemin üzerinde çalışır.Kontrol listesi kesindir ve modellemeden önce yargılanmalıdır. Her alarm, karşılanmamış faturanızı yeni bir SIEM yetki ücretine dönüştürmek için ön satırı büyük bir model çalışır.

Bir cümle:Zeka nedeni, iş akış yürütme, uygulama çerçevesi uygulama.

VII. ASOP vs SOAR vs AI SOC

• SOAR: Hepiniz size kalmış. Tam olarak söylediğin şey budur. Bu bir yargı değil.
• AI SOCKlinike gitmek için iyi bir fikir, çizim sonuçlarını durdurmak, sadece SOS veya üreticiden aldığınız yol.
• ASOP: Bir geçiş öncesi akıllı vücut programı ilk günde mevcuttur ve özelleştirilmiş olabilir - çünkü iki ortam aynı görünüyor

VIII. Kontrol nasıl garanti edilebilir? Guardrail ve kullanım arasındaki fark

Düşündüğüm tüm endüstriyel tasarım fikri kopyalamaya değer.

Endüstrideki uygulamaların çoğu, teşhis, sonuçlar ve cevaplar yönetmek için ön satırın kullanıldığı ve sınırların derhal yazıldığıdır.Ancak hızlı seviye çit aslında düzgün bir şekilde gerçekleştirmek için bir model için bir istektir.- Bu yanlış okunabilir, görmezden gelin veya etrafta söylenebilir.

Ve... Harness, istihbaratın göremediği bir platform düzeyinde kısıtlamadır, konuşma veya neden.: bölgeselleşme, karantina infazı, kaynak kapağı, kırıcı. Model altında çalışır, çabuk yeterince enjekte edilemez.

Fark şu:Guardrail sadece iyi davranışlar için soruyor, Harness bağlayıcı.

Blink onu dört doğrulanabilir güven mekanizmasına koyar:

• Ajan Harness.Alan araçları, segregasyon, kaynak kapakları, breakers, tüm zorunlu modeller altında
• Challenger PattersonBağımsız bir meydan okuma uzmanın gitmesine izin vermeden önce her sonuca saldırır.
• Zero Credential Exposure: Akıllı vücut hareketliliği, küçük ve kontrollü iş akışı tarafından tutulan anahtar
• Yetki değilAkıllı bedenler sadece ön ekranlı, denetim edilebilir beceriler eylemine tabi olabilir ve ayakta otoriteye dayalı değildir.

Surveillance ayrıca tutuyor. CISA Ortak Ally Group tarafından yayınlanan AI Guide güvenli bir tasarım yaklaşımı öneriyor.Zekayı değersiz bir kimlik olarak düşünün, minimum ayrıcalıklar verir.Bilmiyorum. Pratik versiyon, akıllı vücut kimliğini planlamak ve daha sonra yerine, özerkliği genişletmeden önce tamamen denetim zincirini tamamlamaktır. Gerçek şu ki, çoğu kuruluş henüz bu noktaya ulaşmadı - 2026'daki Bulut Güvenliği İttifakının bir kimlik araştırması ABD hükümetinin bunu yapacak bir konumda olmadığını buldu.Şirketlerin sadece yüzde 18'i, istihbarat kimliklerini yönetmek için kendi IAM'a yüksek bir güven seviyesine sahiptir.Bilmiyorum.

IX. Metriks değişir.

Ve eğer SOS’unuz hala raporlanırsa, “Her analistin sınıfında kaç alarma yakın”, artık mevcut olmayan bir süreci ölçersiniz.

Hedef, hedeftendir. Uyarılar Triaged Turn Turn Özerk ve İnsan-on- yük kararlarıBilmiyorum. Soru “ alarmı ne kadar çok kez kapatıyoruz”, “Yaptığımız kaç kez.”

Bu gösterge rahatsızdır çünkü boşlukları açığa çıkarır. Ancak aynı zamanda güvenli operasyonel girdileri ve güvenlik sonuçlarını bağlayabilecek tek göstergedir.

Arazi nasıl yapılır: olgunluğa bir yol

Bir geçiş değil, bir yol:

Artisanal Otomasyon AI Akıllı Liderlik ve Kendi Operasyon için Onay Çerçeve

Güven kazanılır, ödüllendirilmez. Dispensaries'in yükünün yavaş inşa edildiği yerden başlayarak, aynı platform bir sonraki alanda kullanılıyor - entegrasyon, durum yönetimi, onay akışı, denetim zinciri – bu platformda “do” anlamına geliyor.

Unutmayın:Bu bir insan, süreç ve teknoloji değişimi, bir satın alma egzersizi değil.

XI. How TO ASSOP

Fonksiyonel listede, kontrol ve kapsamada yıldız etmeyin. Dokuz denetim noktası:

• Full kapalı çemberTartışma, soruşturma, yanıt, bir sonuç ve iletim değil
• Cross-domainSoc, IAM, VM, GRC, bulut güvenliği, sadece SOS değil
• Satışcı tarafsızlık ve bütünleme genişliği: Zaten sahip olduğunuz araçları eşleştirebilirsin, teknolojiyi kilitlemeyin
• Preset ve özelleştirilebilir: İlk gün bir plan var ve bu değişebilir, siyah bir kutu değil
• Ownership control: Autonomy seviyeleri rutin olarak ayarlanır, güven büyümesi için ayarlanır
• Halkalı Kişi: Yüksek riskli işlemler onay ile açık
• Denetim edilebilir, mevcut kanıtlar: Her karar ve eylem denetim için incelenebilir ve ihraç edilebilir
• Test çalışmaları aralıkta.: Modified, kaplı kör alanlar, doğrulandı, sonuçlar akışı döndü - ancak platform bir test motoru olduğunu iddia etmiyor
• Deployment speed: Birkaç gün gerçek sonuçlar, uzun vadeli bir proje değil

Gerçek etki nedir?

Blink iki halka açık vaka verdi (manufacturing data, refer to):

• HUMAN Güvenlik123, av istihbarat bedenlerini tehdit etti, gerekli el kitabının 11'i, yamaları gerektiren gerçek keşiflerin 2'si ve akıllı bedenlerin 100'den fazla manuel çalışma işi kurtarıldı
• Küresel bir sigorta şirketi.: Akıllı bedenlerin çalışma akışı 5 ila 30 + ve alarmların karar verme süresinden genişledi 15 dakika 1 dakika. İşte. İç İç İç İç

Blink, 30.000+integrator'a sahip olduğunu iddia ediyor, 100 milyondan fazla finanse eden 500+preset akıllı şablon. Bu rakamlar üreticinin konumunu taşır, ancak yön açıktır:Sonuç hiçbir zaman “birçok alarmın nasıl kapatıldığı” değil, “birçok sorun nasıl düzeltildi.”

Sonunda: bir paradigma göçü

Geriye dönüp bak, SIEM çağı "görünü" çözer, SOAR dönemi "enforceable" ve AI SOC yaş "uygun" çözer. Ve ASOP son bağlantıyı çözmeye çalışıyor:Kapalı bir çembere karar vermek, eyleme gerçekten toprak izin vermek.

Birkaç akıllı bedenden daha değerli."data"dan "işstream"e güvenli bir operasyona odaklanınBilmiyorum. Her kim tamir akışına sahiptir, sonuçlara sahiptir - önümüzdeki beş yılda ifade herhangi bir teknik detaydan daha önemli olabilir.

Elbette, konseptte kaybolmaz. ASOP şu anda üretici tarafından önerilmektedir ve üretici tarafından tanımlanır (BlinkOps, Elastic, Optiv, SEC1, tüm bu yönde), ve standartlar ve sınırlar hala formdadır. Yargının gerçek temeli basittir:Ekibinizi "Polis"den çıkarabilir ve gerçek sorunu çözebilir mi?

AI SOC size bir sonuç verir, ASOP bunu bir düzeltmeye dönüştürmenize yardımcı olur.

Referans: BrinkOps, Bir Ajan Güvenlik Operasyon Programı Nedir, Elastic Smart İşletim Tanım, Optiv / SEC1 ASOP Programı, CISA Smart Body AI Guide, 2026 Cloud Safety Union Identity Survey