Thế hệ kế tiếp của SOC làm thế nào để xây dựng nó: AAFO (Các chiến dịch an ninh gen)

Từ SOC (Trung tâm điều hành) là một từ mà không ai quen thuộc với người an toàn. Nhưng trong vòng 2 năm, có một chút khó xử: SIEM thu thập nhật ký, ghi hình thiết bị cuối, AI SOC giúp bạn với cảnh báo -- mỗi vòng đang trở nên thông minh hơn, và đường dây cảnh sát thì rõ ràng hơn, càng nhiều người làm việc.

Một khái niệm mới nổi lên trong ngành công nghiệp:ASOP (Chương trình bảo mật quốc tế, cơ quan điều hành an toàn thông minh)Tôi không biết. Không phải một sản phẩm SOC khác, mà là một góc khác. Bài này cho thấy rõ: nó là gì, và nó ở đâu, nó đáp xuống như thế nào, nó nên hỏi gì trước khi mua.

ASO là một mô hình hoạt động

ASOMô hình kinh doanhHãy để cơ thể của Al thông minh và làm việc chắc chắn với nhau để làm việc an toàn từ tín hiệu đến độ phân giải.

Chú ý, không chỉ báo động SOC. Yêu cầu nhận dạng, phát hiện vi phạm, tuân thủ pháp y, lỗi cấu hình đám mây...Bất cứ công việc nào sẽ rơi vào hàng đợi bằng tay ngày hôm nay.Người đó chịu trách nhiệm thiết lập mức độ tự trị và luôn luôn kiểm soát.

Nền tảng để chạy mô hình này là ASOP. An toàn rồi.Máy bay điều khiểnNó có sự tích hợp, luồng công việc, trí thông minh, vụ án và cơ chế quản lý xung quanh nó.

II. "Tiềm thức" và "làm việc dòng thời gian" khác nhau, nhưng cả hai

Đó là sự phân biệt rất quan trọng. Có rất nhiều sự nhầm lẫn:

• Cơ thể thông minh Al: Hãy nhìn vào tình thế hiện tại, hướng đến lý luận khách quan, và hành động qua những công cụ bạn chấp nhận. Nó dựa trên những gì nó vừa tìm thấy.
• Dòng chảyLuôn luôn chạy cùng một bước, chính xác những gì anh đã nói.

Cả hai người, và một người trong số họ, cần phải được sửa trị “nơi mà mọi mối liên hệ đều được cho phép. Đó là ý nghĩa của việc điều khiển máy bay.

III. Một đồ thị hiểu ranh giới ASO

Hãy tưởng tượng hoạt động an toàn như một quang phổ từ trái sang phải:

• Trái trênống dẫn dữ liệu, đăng nhập, phân hủy, lưu trữ - khu vực SIEM
• Giữa• Kiểm tra, tham khảo, điều tra
• PhảiPhục hồi, ngăn chặn, phục hồi và phản hồi vòng quay trở lại để kiểm tra

Al SOC chỉ bao phủ ở giữa.Nó đọc dữ liệu báo động, lý luận, và đưa ra kết luận. Nó không cần sự cho phép để viết — đó là lý do tại sao chúng ta dễ xây dựng, mọi người làm ra nó, và nó dừng lại ở đó. Kết quả của một hệ thống mà chỉ kết thúc động cơ và sửa chữa người dân, là các báo động đã được đóng nhanh hơn, nhưng đoạn băng ngược vẫn cao như vậy.

ASO ghi đè giữa phảiĐó là, từ lúc báo động được kích hoạt đến lúc vấn đề được giải quyết thật sự. Nó cũng kéo dài sang trái để kiểm tra - không phải để chạy thử (mà cũng là công việc của SIEM/EDR/EDR/Log), nhưng để hoạt động các vành đai để phát hiện: phân loại sai các quy tắc, tìm kiếm các vùng mù, kiểm tra xem thử có hiệu quả sau khi môi trường thay đổi và tái định hướng tìm ra các quy tắc.

Có một điều hay:Một luật đã được kích hoạt 847 lần tháng trước, 812 lần tự động.- Nó đang tự nói. Đó là hệ thống giữ những dữ liệu kết quả có thể hoạt động trên thông tin này.

Một câu tóm tắt sự khác biệt giữa ba công cụ:Những công cụ chỉ có thể được nhìn thấy là không thể hành động, những dụng cụ chỉ có thể hành động không thể lý luận được, và những dụng cụ mà chỉ có thể lý luận là vô trí.

Tại sao “máy bay cất cánh

Trong 10 năm qua,Trọng trường Dữ liệu: tầm nhìn tập trung, tầm nhìn, sự thấu hiểu. Lý luận này hiệu quả cho đến khi lượng dữ liệu vượt quá khả năng phân tích.

10 năm nữa sẽ đếnTrọng lực làm việc theo dòngBất cứ ai có dòng chảy sửa chữa, đều có kết quả. Thiếu tầm nhìn của cuộc phẫu thuật là một chi phí giám sát đắt đỏ.

Điều này giải thích một hiện tượng phản trực quan:Al, nhiệm vụ không giảm lượng công việc. Nó vừa chuyển công việc.Tôi không biết.

Trước khi AI, hàng đợi bị giới hạn trong khả năng của con người, những báo động rủi ro thấp đã bị đàn áp và toàn bộ các thử nghiệm đã bị đóng cửa. AI lấy trần nhà, và nó tăng lên 10 lần, thậm chí một tốc độ thăng chức nhỏ, có nghĩa là nhiều lần đưa ra quyết định thủ công hơn trong quá khứ. Cỗ máy hấp thụ lượng quá trình, không phải sự phán xét. Sự ép buộc mới được gọi là MTTD (Thời gian để quyết định, giờ quyết định trung bình)Tôi không biết.

Hàng đợi quyết định chỉ trống rỗng khi có cái gì đó để thực sự hành động. Đó là máy bay điều khiển.

V. Tại sao không chỉ SOC

Điều này biến ASO thành một nền tảng, không phải một công cụ SOC bằng nhựa.

Xem mọi chương trình an toàn cơ thể thông minh cần gì:Hợp nhất, tổ chức, vụ án theo dõi, hợp tác thủ công, quản lý và kiểm toán với thẩm quyền viếtTôi không biết. Quản lý lỗ hổng cơ thể thông minh cần thiết, an ninh đám mây, GRSC, AppSec, săn bắn, phát hiện công việc - tất cả đều cần cùng một căn cứ.

Mỗi người mua một số lượng nhỏ một cơ sở hạ tầng: năm chuỗi kiểm tra, năm dòng được chấp thuận và năm thứ khiến cho nhóm tuân thủ bị đau đầu. Chạy trên một ASOP, và văn cảnh là sự đáp trả lại tài sản, sự phơi bày, nhân dạng, lịch sử trường hợp tất cả đều ở một chỗ, nuôi dưỡng mọi trí thông minh.

Đây là ý nghĩa thực sự của "làm cho an ninh làm việc thông minh".Không phải công việc nào cũng có cơ thể thông minh, mà là một máy bay điều khiển cần một cơ thể thông minh khi suy luận, và một luồng công việc nhất định.

VI. ASOP hoạt động như thế nào: SUDA circle

Trong trường hợp nháy mắt, nó chạy chu kỳ SUDA...Thấy chưa, Underwood (hiểu rõ), quyết định (hành động)Mỗi bước của cách đó đều có sự quản lý và kiểm soát của con người.

• Xem: Báo thù một tín hiệu từ bất kỳ công cụ trong một nhà kho công nghệ
• Underwood: thực thể rút tiền, giải phẫu sinh học, giảm cân, liên kết
• Quyết định: Kết luận, đánh giá độ nghiêm trọng và rủi ro, khuyến nghị hành động
• Hành động: ngăn chặn, xóa bỏ, phục hồi, áp đặt bởi khung thực hiện ( chúa)

Nguyên tắc thiết kế cốt lõi là:Mỗi sân khấu chạy trên sàn điều hành rẻ nhất có thể giải quyết được.Bản liệt kê rõ ràng và cần phải được đánh giá trước khi làm mẫu. Mỗi báo động điều hành một mô hình lớn mà không đủ khả năng -- nó tương đương với việc biến hóa hóa đơn bảo hiểm của bạn thành một phí cho phép SIEM mới.

Một câu:Cơ quan tình báo lý luận, thực thi công việc dòng chảy, thực thi pháp luật.

VII. ASOP chống lại SOAR chống lại Al SOC

• SOARTùy anh thôi. Đó chính xác là điều anh đã nói. Đó không phải là phán xét.
• AI SOCĐó là một ý tưởng hay để đến phòng khám, ngừng vẽ kết luận, chỉ là SOC, hoặc cách bạn nhận nó từ nhà sản xuất.
• ASOP: Một chương trình cơ thể thông minh có sẵn trong ngày đầu tiên và có thể tùy chỉnh - bởi vì không có hai môi trường nào giống nhau

VIII. Làm sao chúng ta có thể kiểm soát được? Sự khác biệt giữa rào chắn và bộ giáp

Đó là ý tưởng thiết kế công nghiệp mà tôi nghĩ là đáng để sao chép.

Hầu hết các thực hành trong ngành công nghiệp là mô hình tiền tuyến được sử dụng để quản lý chẩn đoán, kết luận và phản ứng, và biên giới được viết nhanh chóng.Nhưng hàng rào cấp độ nhắc nhở về cơ bản là yêu cầu một mô hình để thực hiện đúng cách.— Nó có thể bị hiểu lầm, lờ đi hoặc nói ra xung quanh.

Và... Harness là một nền tảng hạn chế nơi mà trí thông minh không thể thấy, nói hay lý do.: công cụ để chiếm đóng lãnh thổ, thực hiện cách ly, nguồn tài nguyên, phá vỡ. Nó chạy dưới mẫu, không thể tiêm đủ.

Sự khác biệt là:Bảo vệ chỉ yêu cầu có hành vi tốt, Harness đang bị ràng buộc.

chớp mắt đặt nó xuống mặt đất thành bốn cơ chế tin tưởng có thể kiểm chứng được:

• Đặc vụ Harness.Công cụ lĩnh vực, phân tách, nắp tài nguyên, công tắc, tất cả bắt buộc theo mô hình
• Người thách đấu PattersonMột kẻ thách đấu độc lập đã tấn công mọi kết luận trước khi người xét xử cho phép nó đi
• Hiển thị không dấu vết: thông minh cơ thể di chuyển, chìa khóa được giữ bởi hầm và dòng công việc
• Uy quyền không có quyềnCơ thể thông minh chỉ có thể chịu hành động trước màn hình, kiểm toán kĩ năng và không dựa trên quyền hạn đứng

Giám sát cũng đang theo dõi. Sách hướng dẫn AI được phát hành bởi Tập đoàn Ally Allt đề nghị phương pháp tiếp cận an toàn.Hãy nghĩ đến trí thông minh như một nhân dạng không đáng tin cậy, cho những đặc quyền tối thiểu.Tôi không biết. Phiên bản thực tế là lên kế hoạch nhận dạng cơ thể thông minh và hoàn toàn kiểm toán trước khi mở rộng sự tự chủ, thay vì sau này. Thực tế là đa số các tổ chức chưa đạt đến điểm này - một cuộc khảo sát nhận diện Liên minh Mây An toàn vào năm 2026 cho thấy rằng chính phủ Hoa Kỳ không có quyền làm thế.Chỉ có 18% các công ty có mức độ tự tin cao trong việc quản lý thông tin tình báo của họ.Tôi không biết.

IX. Kỹ thuật thay đổi.

Và nếu SOC của bạn vẫn đang báo cáo, "Có bao nhiêu báo động mà mỗi nhà phân tích đóng lại trong lớp của mình," bạn đo một quá trình không còn tồn tại nữa.

Mục tiêu đến từ Comment Quay Những giải pháp tự động và con người có đầy đủTôi không biết. Câu hỏi được đặt ra là: “Có bao nhiêu lần chúng ta tắt chuông báo động cho đến bao nhiêu lần sửa chữa nó?

Chỉ số này không thoải mái vì nó phơi bày khoảng cách. Nhưng nó cũng là chỉ số duy nhất có thể liên kết các đầu vào an toàn và kết quả an toàn.

Cách hạ cánh: một con đường đến thành thục

Không dùng công tắc, đó là một con đường:

Phần mềm tự động điều khiển trí tuệ phụ trợ và phần mềm truy cập cho việc tự quản lý

Lòng tin được tạo ra, không phải được trao thưởng. Bắt đầu từ nơi có trọng lượng lớn nhất, vì sự tin tưởng được xây dựng dần dần, nên nền tảng này được dùng trong khu vực kế tiếp — sự hợp nhất, quản lý trường hợp, sự chấp thuận dòng chảy, chuỗi kiểm toán — đó là điều “làm trên bục giảng ”.

Hãy nhớ:Đây là một con người, quá trình và sự thay đổi công nghệ, không phải một bài tập mua sắm.

XI.

Đừng nhìn vào danh sách chức năng, kiểm soát và bảo vệ. 9 điểm kiểm tra:

• Vòng tròn đóng đầy đủ: tham khảo ý kiến, điều tra, phản ứng, không phải kết luận và truyền tải
• Ở lại quaSoc, IM, VM, GC, an ninh đám mây, không chỉ SOC
• Trung lập nhà cung cấp và độ rộng tích hợp: Có khả năng khớp với những công cụ bạn đã có, không khoá kho công nghệ
• Định sẵn và tùy chỉnhCó một kế hoạch vào ngày đầu tiên và nó có thể thay đổi, không phải hộp đen
• Điều khiển quyền sở hữu: Mức độ tự động được thiết lập thường xuyên, điều chỉnh để tăng trưởng tin tưởng
• Người mặc định trong vòng: các thao tác rủi ro cao mở với sự chấp thuận
• Name: Mỗi quyết định và hành động có thể được xem xét và xuất bản để kiểm toán
• Công việc thử nghiệm đang trong tầm kiểm tra.: Thay đổi, che khuất vùng mù, xác nhận lại, lưu lượng kết quả - nhưng nền tảng không giả vờ rằng đó là một động cơ thử nghiệm
• Tốc độ triển khaiMột vài ngày của kết quả thực sự, không phải một dự án lâu dài

Hiệu quả thật sự là gì?

Blink đưa ra hai vụ án công cộng (làm sáng tỏ dữ liệu, đề cập đến):

• Sự an toàn của nhân loại: 123 cơ quan tình báo bị đe dọa, 11 trong số đó cần xem xét hướng dẫn sử dụng, 2 trong số đó là những khám phá thực sự yêu cầu các bản vá, và cơ thể thông minh tiết kiệm hơn 100 giờ làm việc thủ công
• Một công ty bảo hiểm toàn cầu.: dòng chảy làm việc của cơ thể thông minh mở rộng từ 5 đến 30 + thời gian của báo động 15 phút đến 1 phút. Đây. Nội bộ

Blink tuyên bố rằng có 30.000 + di tích, 500 + dự đoán mẫu thông minh cơ thể mà tài chính hơn 100 triệu đô la. Những con số này mang vị trí của nhà sản xuất, nhưng hướng đi là rõ ràng:Kết quả không bao giờ là “có bao nhiêu báo động được tắt đi, nhưng có bao nhiêu vấn đề đã được giải quyết.

Cuối cùng: một cuộc di cư mô hình

Khi nhìn lại, thời đại SIEM giải quyết "xem này", thời đại SOAR giải quyết "có thể cưỡng lại" và thời đại Al SOC giải quyết "sự phán xét". Và ASOP đang cố gắng giải quyết liên kết cuối cùng:Biến sự phán xét thành một vòng tròn khép kín, cho phép hành động thực sự hạ cánh.

Nó đáng giá hơn vài cơ thể thông minh.Di chuyển trọng tâm của hoạt động an toàn từ "dữ liệu" sang "làm việc dòng chảy"Tôi không biết. Bất cứ ai có khả năng sửa chữa, có kết quả — cụm từ này trong năm năm tới có thể quan trọng hơn bất cứ chi tiết kỹ thuật nào.

Tất nhiên, đừng lạc lối trong khái niệm đó. ASOP hiện đang được nhà sản xuất đề xuất và xác định bởi nhà sản xuất (BlinkOps, Elic, Optiv, SEC1, tất cả theo hướng này), và các tiêu chuẩn và ranh giới vẫn còn. Cơ sở thật sự của sự phán xét rất đơn giản:Liệu nó có thể giúp đội của anh thoát khỏi cuộc gọi cảnh sát và giải quyết vấn đề thực sự?

Al SOC cho bạn một kết luận, ASOP giúp bạn biến nó thành một sửa chữa.

Tài liệu tham khảo: BrinkOps, Một chương trình An ninh Cơ thể Thông minh là gì, Chương trình Điều hành Điện ảnh, Chương trình Nghiên cứu Liên minh Các Thiên thông minh của Cơ thể CISA Thông minh, 2026