Het samenstellen van een shortlist voor een AI SOC-evaluatie kan lastig zijn. SIEM-, SOAR- en pureplay AI SOC-leveranciers zeggen allemaal hetzelfde. Maar achter hetzelfde label zitten heel verschillende producten, van chatassistenten die zijn gekoppeld aan een oudere SIEM tot agentplatforms die detectie, triage, onderzoek en respons uitvoeren op hun eigen gegevensbasis.
Of een platform de resultaten voor uw team wezenlijk zal veranderen, is belangrijker dan hoe het wordt genoemd. We kunnen dat meten aan de hand van de onderzoekstijd, het fout-positieve volume, de geretourneerde uren van analisten, de totale kosten voor het runnen van uw SOC en ten slotte of de architectuur over twee tot drie jaar stand zal houden naarmate het volume, de snelheid en de complexiteit van aanvallen blijven toenemen.
Wat is een AI SOC-platform?
Een AI SOC-platform is een platform voor beveiligingsoperaties waar AI-agenten het kernwerk van het SOC (detectie, triage, onderzoek en respons) uitvoeren door te redeneren over gecorreleerde beveiligingsgegevens, onder menselijk toezicht. Het verschilt van de aanvullende AI, die waarschuwingen samenvat binnen een bestaande SIEM, terwijl het onderliggende werk handmatig blijft.
Agenten die het kernwerk doen, dat bedoelen leveranciers als ze agent zeggen. Het onderscheid kan subtiel lijken op een datasheet, maar het echte bewijs vindt plaats tijdens POC’s.
Wat maakt een AI SOC-agent voorspelbaar?
Voorspelbaarheid scheidt SOC-automatisering waarop u kunt vertrouwen van de automatisering waarop u past, en het is meer een data-eigenschap dan een model-eigenschap. Een agent die alleen waarschuwingen samenvat, kan alleen op basis van de waarschuwingspayload werken. Een agent die wordt vertrouwd om waarschuwingen te sluiten of responsacties te ondernemen, heeft veel meer context nodig, zoals de betrokken entiteit (identiteit, resource, apparaat/asset), hoe de configuratie ervan is veranderd, hoe normaal eruit ziet voor de entiteit en tal van andere factoren.
Platforms die voor dat niveau van vertrouwen zijn gebouwd, onderhouden een realtime kennisgrafiek, een voortdurend bijgewerkte kaart van de identiteiten, bronnen, configuraties en gedragsbasislijnen in een omgeving en de relaties daartussen, samengesteld voordat er een waarschuwing afgaat. Gebaseerd op die context, en gecombineerd met de gelaagde modelarchitectuur die in de onderstaande checklist wordt behandeld, komt een agent met consistente, op bewijzen gebaseerde uitspraken. Bolt-on AI werkt in de tegenovergestelde richting en bevraagt onbewerkte logboeken nadat er een waarschuwing is ontvangen. Daarom houden de conclusies ervan vaak geen stand onder nauwkeurig onderzoek. De breedte is net zo belangrijk. De sterkste platforms voegen detectiedekking toe voor bronnen die u nog nooit hebt geïnstrumenteerd, voeren voortdurend jacht op bedreigingen uit en beginnen met reageren terwijl een incident zich nog steeds ontvouwt.
6 AI SOC-mogelijkheden om te testen voordat u koopt
Elke mogelijkheid hieronder kan worden gecontroleerd tijdens een proof of concept, in uw eigen omgeving of live in een leveranciersdemo.
- Een realtime, gecorreleerde databasis. Een AI-oordeel is slechts zo goed als de context erachter. Vraag of identiteits-, configuratie-, resource- en basislijngegevens continu worden gecorreleerd (de kennisgrafiekbenadering) of worden samengesteld uit onbewerkte logboeken tijdens de query. Snelheid alleen bewijst weinig; een snelle query-engine keert ook binnen enkele seconden terug. Kies in plaats daarvan willekeurig een identiteit en begrijp de machtigingen (admin of niet), de configuratiedrift en de gedragsbasislijn (normale locatie, IP, ASN, user-agent, enz.). Niets daarvan kan op het moment van de vraag worden nagebootst.
- Agenten voor de volledige levenscyclus. Laat de leverancier één incident end-to-end doorlopen, vanaf de detectie waardoor het is ontstaan, via triage, onderzoek en een responsactie, en kijk of de context bij elke stap wordt doorgevoerd of opnieuw wordt verzameld. Veel platforms automatiseren Tier-1-triage en stoppen daar, waardoor de waarschuwingswachtrij wordt versneld zonder het SOC te versnellen.
- Op bewijs gebaseerde, controleerbare uitspraken. Vraag om het bewijsspoor achter een oordeel te zien – elke loglijn, correlatie en gevolgtrekking die tot dit oordeel heeft geleid – en bevestig dat uw analisten de bevinding op basis van dezelfde gegevens kunnen reproduceren. Een oordeel dat u niet kunt controleren, is een oordeel.
- Detectiedekking buiten de SIEM. Echte incidenten doen zich voor in de cloud, SaaS, identiteit en code, maar een groot deel van die telemetrie bereikt nooit de SIEM omdat het te veel kost om het op te nemen. Maak een lijst van de bronnen die uw stapel donker laat, zoals grote cloud-auditlogboeken, GitHub en Google Workspace, en laat de leverancier vervolgens een detectie en een onderzoek naar deze bronnen laten zien.
- Geënsceneerde autonomie met menselijk toezicht. Volledige autonomie op de eerste dag is een waarschuwing, en dat geldt ook voor een platform dat nooit meer verdient dan alleen-lezen toegang. Onderzoek hoe vertrouwen wordt geënsceneerd, welke acties beginnen als aanbevelingen, welk bewijsmateriaal automatische uitvoering ontgrendelt en waar iemand zich nog steeds afmeldt. Bevestig dat u deze drempels per actietype kunt afstemmen.
- Meetbare resultaten. Definieer de cijfers voordat de POC begint: het aantal fout-positieve reacties en de gemiddelde tijd om te onderzoeken en te reageren. Meet de resultaten af tegen uw huidige basislijn en vraag referentieklanten wat er in hun eerste kwartaal is veranderd. Als u uiteindelijk wilt dat de leverancier het voor u uitvoert, bevestig dan dat de beheerde service hetzelfde product gebruikt als uw team zou gebruiken.
Spotlight: het Agentic SOC-platform van Exaforce
Eén platform dat rond deze mogelijkheden is ontworpen, is Exaforce, een agentisch AI SOC-platform waarvan de vier Exabots de volledige SOC-levenscyclus bestrijken. Exabot Detect werkt als uw AI-detectie-ingenieur, Exabot Triage brengt elke waarschuwing om in een oordeel met Tier-3-diepte, Exabot Investigate vermindert de barrière voor iedereen om de jacht te bedreigen, en Exabot Respond coördineert acties in de hele kill-keten, waarbij een mens alles goedkeurt dat onomkeerbaar is.
Alle vier de Exabots redeneren over een uniform realtime dataplatform dat logs en configuraties in de cloud, SaaS, identiteit, eindpunt en code opneemt en verrijkt. Analisten bevragen het allemaal in gewone taal via Exabot. Hetzelfde platform kan een SIEM vervangen, minus de parsers, het pijplijnonderhoud en het inhuren van SIEM-experts die er meestal bij horen. Guardant Health maakte van Exaforce zijn primaire SIEM en MDR. “Ik schrijf geen vragen meer. Ik stel alleen vragen aan Exabot”, zegt Mike Shannon, directeur Security Engineering van Guardant Health.
De gemeten uitkomsten komen overeen met de bovenstaande mogelijkheden. Onzichtbare besparing betekent 95% tijd om te onderzoeken, waardoor onderzoeken van uren of dagen naar minuten kunnen gaan. Forcepoint verving een MSSP die handbediening nodig had door Exaforce MDR en beschikt nu over een gemiddelde tijd van 14 minuten om te reageren op P0-incidenten.
U heeft de keuze om het platform samen met uw interne team te beheren of om Exaforce het voor u te laten beheren via het MDR-aanbod. De architectuur en de Exabots zijn hoe dan ook identiek; alleen wie ze bedient, verandert.
Hoe dichtbij is het autonome SOC?
Geen enkel platform, inclusief Exaforce, maakt het moderne SOC tot een opgelost probleem. De strijd is AI tegen AI, en die zal niet worden gewonnen op basis van de grensmodellen, maar op basis van de gegevens waarover de agenten redeneren. Agenten die zijn gebaseerd op realtime gegevens die zijn gecorreleerd met identiteit, activa/apparaat, getroffen bronnen en basisgedrag, produceren uitspraken die u kunt voorspellen, reproduceren en controleren, waardoor mensen vertrouwen krijgen om AI in het SOC te gebruiken.
Als u met een evaluatie begint, is Exaforce’s eigen inleiding, Wat is een AI SOC?, een basislezen. Zet vervolgens de zes bovenstaande mogelijkheden voor elke leverancier op uw shortlist en vraag een demo aan om te zien hoe Exaforce hierop reageert.
