گارتنر (Gartner) اخیراً دسته‌بندی جدیدی را برای ارزیابی ابزارهای امنیتی تحت عنوان مرکز عملیات امنیتی یکپارچه (Integrated Security Operations Center یا ISOC) معرفی کرده است. اگرچه سیستم‌های SIEM همچنان جایگاه خود را حفظ خواهند کرد، اما تغییر سریع چشم‌انداز تهدیدات، صنعت را به سمت تغییر منطق عملیاتی سوق می‌دهد که بازتاب آن در ظهور این دسته‌بندی جدید است.
چرا SIEM دیگر کافی نیست؟
برای سال‌ها، SIEM به عنوان یک دسته‌بندی جامع سلطه داشت. اما امروزه، این سیستم‌ها برای جمع‌آوری داده‌ها، پشتیبانی از تحقیقات و مدیریت حوادث به تنهایی کافی نیستند. در واقع، معماری SIEM به لایه‌های مجزایی تقسیم شده است. پلتفرم‌های SIEM که وظیفه جمع‌آوری، نرمال‌سازی (Normalization)، جستجو و تحلیل داده‌های رویداد را بر عهده دارند، اکنون از راهکارهای ISOC متمایز شده‌اند. وظیفه ISOC، یکپارچه‌سازی شناسایی (Detection)، بررسی (Investigation)، مدیریت پرونده (Case Management) و پاسخگویی (Response) در تمامی دامنه‌های امنیتی و خطوط انتقال داده‌های امنیتی و مشاهده‌پذیری (Observability) است.
نقش هوش مصنوعی و نیاز به کاهش تأخیر
با قدرت گرفتن مهاجمان از طریق هوش مصنوعی (AI)، لایه‌بندی این ابزارها ضروری شده است. مدیریت داده‌ها، تحلیل‌ها و پاسخ‌های عملیاتی اکنون به چالش‌های مجزایی تبدیل شده‌اند که نیازمند راهکارهای تفکیک‌شده هستند. ISOC در این فضا با هدف کاهش هزینه‌ها، تأخیر (Latency) و اصطکاک عملیاتی وارد میدان شده است.
هدف از معرفی ISOC، ارزیابی توانایی فروشندگان در ادغام منطق کلاسیک SIEM با قابلیت‌های گسترده‌تر در حوزه TDIR (شناسایی، بررسی و پاسخ به تهدیدات) است. این رویکرد به‌ویژه برای تیم‌های کوچک که اولویت آن‌ها کارایی و جریان‌های کاری بهینه است، بسیار حیاتی است.
ویژگی‌های کلیدی ISOC
- خدمات بومی شناسایی و پاسخ: کاهش فاصله زمانی بین دریافت سیگنال، همبستگی (Correlation)، بررسی و اقدام نهایی.
- مدیریت پرونده حوادث: تبدیل هشدارها (Alerts) پراکنده به یک شیء حادثه (Incident Object) مستمر و قابل پیگیری.
- همبستگی میان‌دامنه‌ای: ترکیب داده‌های مربوط به نقاط پایانی (Endpoint)، شبکه (Network)، هویت (Identity)، ابر (Cloud) و اپلیکیشن‌ها بر اساس یک مدل داده‌ای مشترک.
- اتوماسیون پیشرفته: امکان استفاده از عوامل هوش مصنوعی (AI Agents) و دستورالعمل‌های خودکار (Playbooks) برای بررسی و اجرای اقدامات بدون نیاز به بازسازی مداوم بافتار (Context) حادثه.
در نهایت، هدف رسیدن به یک صفحه کنترل و داده مشترک است که در آن ابزارهای شخص ثالث نیز بتوانند سیگنال‌های خود را ارسال کرده و به سطوح پاسخگویی تبدیل شوند. با گسترش بازار، سهم فروشندگان ISOC با پوشش دادن حوزه‌هایی نظیر مدیریت هویت، مدیریت ابر/SaaS و امنیت ایمیل افزایش خواهد یافت.
