Microsoft introduceert een geïntegreerd security operations center (ISOC) in Microsoft Defender. Dat is een mooie naam voor een systeem dat continu monitort met de hulp van AI.
Microsoft stelt ISOC voor, kort voor Geïntegreerd (Integrated) Security Operations Center. De integratie in kwestie is met Microsoft Defender, waar ISOC een onderdeel van wordt.
AI met AI bestrijden
Het platform brengt security information and event management (SIEM) en threat protection samen in één omgeving, zonder dat organisaties bijkomende losse tools moeten koppelen. In feite integreert Microsoft de capaciteiten van zijn Sentinel-oplossing met deze zet in Defender.
Rob Lefferts, corporate vice president Microsoft Threat Protection, stelt in een blogpost dat handoffs en integraties tussen afzonderlijke systemen verdedigers vertragen. ISOC moet die complexiteit wegnemen door signalen, context en controles in één geheel te bundelen.
Microsoft is ervan overtuigd dat die aanpak nodig is. Aanvallers zouden steeds vaker AI-agenten inzetten om aanvallen op grote schaal te automatiseren. Daarop reageren met een klassieke, meer gefragmenteerde beveiligingsarchitectuur, gaat in die context te traag.
Microsofts nieuwe beveiligingsstack
ISOC in Microsoft Defender geeft beveiligingsteams en AI-agenten een gedeelde basis om de IT-omgeving te overzien, te begrijpen en erop te reageren. Het platform bundelt drie pijlers in de cyberbeveiligingsstack volgens Microsoft.
- Signalen en sensoren maken het systeem bewust van wat er in de IT-omgeving gebeurt
- Context zorgt ervoor dat een correcte interpretatie van de signalen mogelijk is
- Actuatoren maken het mogelijk om inzichten om te zetten in concrete beschermende acties in de omgeving.
Daar bovenop draait een laag van AI-agenten, gekoppeld aan een systeem met orkestratie, modelbeheer en een krachtig harnas. Die laag is niet nieuw: Microsoft kondigde dat deel van zijn cyberstack in juni aan onder de noemer Project Perception.
Project Perception moet AI al de mogelijkheid geven om risico’s op te sporen, te beoordelen en aan te pakken. In juni al zette Microsoft zijn visie van de nieuwe cyberstack met een grote rol voor AI uiteen. Project Perception bracht daarin al intelligentie en integratie met zich mee. ISOC moet de AI-gedreven monitoring, detectie en remediëring verbreden naar de hele organisatie.
Externe connecties
Daartoe moet ISOC in Defender natuurlijk ook gegevens verwerken van externe bronnen. Via een ISOC-werkplek gekoppeld aan een Azure-abonnement zijn er meer dan 500 connectoren tot die externe systemen beschikbaar. Microsoft merkt op dat koppelingen soms gepaard gaan met kosten.
Microsofts vernieuwde, AI-gedreven cyberstack met Project Perception en de ISOC opent volgens het bedrijf zelf de deur naar nieuwe mogelijkheden. Microsoft geeft het voorbeeld van aanvalsverstoring vanuit Microsoft Defender.
Tegenaanval in realtime
Dankzij uitgebreide telemetrie en controles kan het systeem in theorie een aanval detecteren wanneer die nog gaande is. Vervolgens kan het systeem voorspellen wat de volgende zet van de aanvaller zal zijn, en daar in real-time op inspelen. Zo ontstaat een beschermingslus die voortdurend leert en de verdediging bijstelt, in plaats van een lineair proces waarbij elke stap apart wordt afgehandeld.
Het tempo ligt dankzij de focus op AI veel hoger. Mensen blijven in de visie van Microsoft wel een rol spelen, maar die wordt meer strategisch. Wanneer het beveiligingsbeleid correct geïmplementeerd is, is het aan AI om daar op grote schaal over te waken.
Geen aparte AI-laag
ISOC richt zich op beveiligingsspecialisten die vandaag tijd verliezen aan het samenleggen van signalen en het heen en weer springen tussen tools. Met ISOC zijn de functies om te onderzoeken, te jagen naar problemen, incidenten te beheren en actie te ondernemen standaard beschikbaar binnen één omgeving.
Microsoft benadrukt dat er geen aparte AI-laag bovenop komt. AI-agenten gebruiken dezelfde context en controles die specialisten al ter beschikking hebben, waardoor teams hun expertise kunnen uitbreiden zonder een nieuw operationeel model te moeten opzetten.
Vol in het beveiligingsbad
AI maakt een vorm van continue monitoring van systemen mogelijk die voordien erg prijzig was, zelfs met de uitbesteding van een SOC aan een derde partij. AI-integratie brengt minstens een deel van die menselijke capaciteiten naar een groter publiek, en geeft bestaande experts de tools om op een grotere schaal te werken.
Microsoft lijkt AI te gebruiken om een steeds grotere rol in de beveiligingswereld op te eisen. Dat is opvallend. Microsoft heeft zich aanvankelijk over beveiliging ontfermd omdat het zijn verantwoordelijkheid wilde nemen als OS- en cloudprovider. Door een AI-SOC in Defender te integreren, trekt het bedrijf meer dan ooit ten aanval tegen gevestigde beveiligingsspecialisten.
Beschikbaarheid
ISOC in Microsoft Defender is vanaf nu beschikbaar als preview voor wie Microsoft Defender Suite ter beschikking heeft, of gebruikers met Microsoft 365 E5 en E7-licenties.
Wie al een actieve Microsoft Sentinel-omgeving heeft, krijgt vooralsnog geen toegang. Voorlopig houdt de oplossing data een maand bij zonder extra kosten. Wat de prijzen na de preview worden, is nog onduidelijk.