Microsoft přináší ISOC do Defenderu a spojuje SIEM s ochranou před hrozbami

Microsoft 23. září 2026 oznámil integrované centrum bezpečnostních operací (ISOC) v Microsoft Defenderu, základ pro agentní bezpečnost, který spojuje správu bezpečnostních informací a událostí (SIEM) a ochranu před hrozbami do jednoho systému. V době oznámení byl dostupný v režimu preview.

Rob Lefferts, Corporate Vice President pro Microsoft Threat Protection, oznámil ISOC v příspěvku na Microsoft Security Blogu a popsal jej jako společný základ, na němž mohou lidé a agenti sledovat celé prostředí, rozumět mu a jednat v něm bez provozování oddělených systémů.

Proč podle Microsoftu musí SOC projít změnou

Zdůvodnění v Leffertsově příspěvku začíná u útoku. Kybernetičtí útočníci podle něj používají agenty k automatizaci činnosti ve velkém měřítku a práci, která dříve vyžadovala celé týmy, nyní zvládne jeden operátor a agentní framework. Bezpečnost kvůli tomuto posunu nemůže fungovat rychlostí AI, pokud jsou ochrana a provoz vytvořeny jako oddělené systémy: každé předání, integrace a hranice mezi nimi obránce zpomalují a agenti postavení nad těmito systémy tuto složitost dědí.

Aby agentní bezpečnost fungovala, napsal, potřebuje odvětví moderní kybernetický stack s viditelností napříč prostředím a dostatečnou hloubkou k vyšetřování a zásahům, v němž bezpečnostní operace a nativní ochrana fungují jako jeden systém.

Šestivrstvý kybernetický stack za ISOC

ISOC staví na architektuře, kterou Microsoft představil 27. července 2026, kdy ukázal kompletní kybernetický stack společně s agentním bezpečnostním systémem Project Perception. Official Microsoft Blog popsal Project Perception jako koordinátora tří skupin specializovaných agentů: agentů červeného týmu, kteří mapují možné cesty k napadení dříve, než je útočníci zneužijí, agentů modrého týmu, kteří vyšetřují a zvažují kontext, aby určili, co představuje významné riziko, a agentů zeleného týmu, kteří provádějí nápravná opatření a posilují obranu v celém prostředí.

Stack má šest vrstev: signály a senzory, kontext, modely, koordinační prostředí, agenty a akční prvky. Podle červencového popisu Microsoftu zajišťují signály a senzory přehled napříč digitálním prostředím, kontext převádí tyto signály na porozumění s nízkou spotřebou tokenů, které mohou agenti využít, modely dodávají inteligenci a uvažování, koordinační prostředí řídí modely a agenty napříč bezpečnostními pracovními postupy a akční prvky převádějí rozhodnutí na ochranu. Microsoft také uvedl, že Project Perception využívá multimodelovou architekturu kombinující špičkové a specializované kybernetické modely a že systém vstoupí do veřejného preview 3. srpna 2026.

V rámci ISOC podle Leffertse signály a senzory zajišťují přehled, kontext mění tyto signály v porozumění a akční prvky převádějí poznatky na ochranná opatření. Agenti poskytují rychlost a rozsah pro nepřetržité provádění, zatímco lidé stanovují priority, uplatňují úsudek a určují výsledky.

Integrovaná ochranná smyčka a návrh pro odborníky

Microsoft uvedl, že ISOC zajišťuje společné fungování signálů, kontextu a řídicích prvků a nahrazuje lineární bezpečnostní pracovní postupy integrovanou ochrannou smyčkou, která průběžně vrací poznatky obránců do silnější ochrany před narušením. Model podle příspěvku názorně ukazuje narušení útoku v Microsoft Defenderu: bohatá telemetrie a řídicí prvky umožňují systému útočníka za probíhajícího útoku odhalit, předvídat a přizpůsobovat se mu, přerušit aktivní hrozby a předvídat, kam se může přesunout dál. Smyčka využívá informace o expozici k posílení ochrany téměř v reálném čase a zpravodajství o hrozbách ji podle Microsoftu zaměřuje na nejdůležitější hrozby.

ISOC podle Microsoftu nativně spojuje schopnosti potřebné k fungování této smyčky, takže ji zákazníci nemusejí sami sestavovat, ladit a udržovat. S rozvojem ochrany se do smyčky mohou přidávat další schopnosti.

Pro odborníky ISOC podle Leffertse mění výchozí stav, v němž dlouho museli vyrovnávat hranice své bezpečnostní architektury, ručně korelovat signály, rekonstruovat kontext a přecházet mezi nástroji, aby shromáždili informace a řídicí prvky potřebné k zásahu. Vyšetřování, vyhledávání hrozeb, automatizace, správa incidentů, porozumění hrozbám a reakce jsou spojeny a dostupné ve výchozím nastavení, takže se týmy mohou organizovat podle bezpečnostních výsledků místo hranic mezi nástroji. S růstem autonomie může podle něj smyčka přebírat více průběžné detekce a obrany, zatímco agenti pomáhají odborníkům s vyšetřováním, uvažováním a reakcí pomocí stejného kontextu a řídicích prvků, které už mají k dispozici. Návrh nevyžaduje sestavování samostatné agentní vrstvy ani spojování nového provozního modelu.

ISOC v Microsoft Defenderu je od 23. září 2026 dostupný v režimu preview. Microsoft společně s příspěvkem zveřejnil také záznam celého oznámení a technický dokument “Agentic SOC: The new operating model for continuous defense”.