مایکروسافت با معرفی مرکز عملیات امنیت یکپارچه (Integrated Security Operations Center یا ISOC) در پلتفرم Microsoft Defender، در تلاش است تا قابلیت‌های مدیریت رویدادها و اطلاعات امنیتی (SIEM) و حفاظت در برابر تهدیدات را در یک بستر واحد برای دفاع مستمر و مبتنی بر هوش مصنوعی ترکیب کند.
ضرورت تغییر در معماری SOC
فرضیه اصلی مایکروسافت این است که معماری‌های سنتی SOC قادر به مقابله با عوامل تهدیدی (Threat Actors) نیستند که از Agentهای هوش مصنوعی برای خودکارسازی مراحل شناسایی (Reconnaissance)، اجرای نفوذ، حرکت عرضی (Lateral Movement) و تصمیم‌گیری‌های عملیاتی با سرعت ماشین استفاده می‌کنند.
در مدل‌های فعلی، عملیات SOC پراکنده است و تیم‌های امنیتی مجبورند بین پلتفرم‌های EDR، ابزارهای SIEM، کنسول‌های مدیریت هویت، محصولات امنیت ابری و سیستم‌های مدیریت Case جابجا شوند. این گسست عملیاتی باعث ایجاد شکاف در زمینه (Context Gap) و تأخیر در پاسخگویی می‌شود.
ساختار سه لایه‌ای ISOC
مایکروسافت معماری ISOC را در سه لایه اصلی تعریف کرده است:
- سیگنال‌ها و حسگرها (Signals and Sensors): ایجاد آگاهی جامع از نقاط انتهایی (Endpoints)، هویت‌ها، محیط‌های ابری و اپلیکیشن‌ها.
- زمینه (Context): همبسته‌سازی رویدادها برای درک ریسک و ارتباط آن‌ها توسط تحلیلگران و Agentها.
- عملگرها (Actuators): تبدیل درک حاصل شده به اقدامات حفاظتی، مانند قطع مسیر حمله فعال یا تقویت کنترل‌های امنیتی.
پروژه Perception و مدل Agentic
این رویکرد بر پایه Project Perception بنا شده است که یک سیستم امنیتی Agentic است و از سه نوع Agent تخصصی استفاده می‌کند:
- Red Agents: شناسایی نقاط ضعف و مسیرهای احتمالی حمله.
- Blue Agents: بررسی شواهد و ارزیابی ریسک‌های مادی.
- Green Agents: پشتیبانی از اقدامات اصلاحی (Remediation) و مقاوم‌سازی دفاعی.
نقش انسان در عصر اتوماسیون
مایکروسافت تأکید می‌کند که اتوماسیون باعث حذف متخصصان امنیتی نمی‌شود. در این مدل، Agentهای هوش مصنوعی وظایف تکراری و حجیم مانند تریژ (Triage)، غنی‌سازی داده‌ها و بررسی‌های اولیه را بر عهده می‌گیرند، در حالی که مدافعان انسانی اولویت‌ها را تعیین کرده، قضاوت‌های استراتژیک را اعمال و اقدامات حساس را تأیید می‌کنند تا ریسک‌های عملیاتی ناشی از تصمیمات نادرست AI کاهش یابد.
