Microsoft bringer ISOC til Defender, forener SIEM og trusselsbeskyttelse

Microsoft annoncerede den 23. september 2026 et integreret sikkerhedsoperationscenter (ISOC) i Microsoft Defender, et fundament for agentbaseret sikkerhed, der samler Security Information and Event Management (SIEM) og trusselsbeskyttelse i ét system, tilgængeligt i preview fra annonceringen.

Rob Lefferts, Corporate Vice President for Microsoft Threat Protection, annoncerede ISOC i et indlæg på Microsoft Security Blog, hvor han beskrev det som et delt fundament, hvorpå personer og agenter kan se, forstå og handle på tværs af miljøet uden at køre separate systemer.

Hvorfor Microsoft siger, at SOC skal ændres

Begrundelsen i Lefferts’ indlæg starter med offensiven. Cyberangribere bruger agenter til at automatisere udførelse i stor skala, skrev han, og arbejde, der engang krævede hele hold, kræver nu en enkelt operatør og en agentramme. På grund af dette skift kan sikkerhed ikke operere i AI-hastighed, når beskyttelse og drift er bygget som separate systemer: hver overdragelse, integration og grænse mellem dem bremser forsvarerne, og agenter bygget ovenpå arver den kompleksitet.

For at agentbaseret sikkerhed skal fungere, skrev han, har branchen brug for en moderne cybersikkerhedsstack med synlighed på tværs af hele miljøet og dybde til at undersøge og handle, hvor sikkerhedsdrift og indbygget beskyttelse fungerer som ét system.

Den sekslagede cybersikkerhedsstack bag ISOC

ISOC bygger på den arkitektur, Microsoft introducerede den 27. juli 2026, da de præsenterede cybersikkerhedsstacken fra ende til anden sammen med Project Perception, et agentbaseret sikkerhedssystem. Den officielle Microsoft Blog beskrev Project Perception som et system, der koordinerer tre klasser af specialiserede agenter: agenter på det røde hold, der kortlægger potentielle kompromisveje, før angribere kan udnytte dem, agenter på det blå hold, der undersøger og vurderer kontekst for at afgøre, hvad der udgør meningsfuld risiko, og agenter på det grønne hold, der udfører korrigerende handlinger og styrker forsvaret i hele miljøet.

Stacken har seks lag: signaler og sensorer, kontekst, modeller, en koordineringsramme, agenter og aktuatorer. I Microsofts juli-beskrivelse giver signaler og sensorer overblik over hele det digitale miljø, kontekst omdanner disse signaler til token-effektiv forståelse, som agenter kan anvende, modeller leverer intelligens og ræsonnement, koordineringsrammen koordinerer modeller og agenter på tværs af sikkerhedsarbejdsprocesser, og aktuatorer omsætter beslutninger til beskyttelse. Microsoft sagde også, at Project Perception bruger en multi-model arkitektur, der kombinerer avancerede modeller og specialiserede cybersikkerhedsmodeller, og at systemet ville gå i offentlig preview den 3. august 2026.

Inden for ISOC skrev Lefferts, at signaler og sensorer giver overblik, kontekst omdanner disse signaler til forståelse, og aktuatorer omsætter indsigter til beskyttende handling. Agenter bidrager med hastighed og skala for kontinuerlig udførelse, mens mennesker fastsætter prioriteter, udøver dømmekraft og definerer resultater.

Den integrerede beskyttelsesløkke og design for sikkerhedsfolk

Microsoft sagde, at ISOC får signaler, kontekst og kontrolmekanismer til at fungere som en enhed, og erstatter lineære sikkerhedsarbejdsprocesser med en integreret beskyttelsesløkke, der løbende fodrer det, forsvarerne lærer, tilbage i stærkere beskyttelse før et sikkerhedsbrud. Angrebshæmning i Microsoft Defender illustrerer modellen, ifølge indlægget: rig telemetri og kontrol giver systemet mulighed for at opdage, forudsige og tilpasse sig en angriber, mens angrebet udfolder sig, afbryde aktive trusler og forudse, hvor en angriber kan bevæge sig næste gang. Løkken bruger eksponeringsindsigter til at styrke beskyttelsen næsten i realtid, sagde Microsoft, med trusselsintelligens, der fokuserer den på de trusler, der betyder mest.

ISOC samler de nødvendige funktioner for at gøre den løkke til en indbygget del, sagde Microsoft, og fjerner behovet for, at kunder skal samle, finjustere og vedligeholde den selv, og efterhånden som beskyttelsen udvikler sig, kan yderligere funktioner tilslutte sig løkken.

For sikkerhedsfolk skrev Lefferts, at ISOC ændrer udgangspunktet, hvor de i lang tid har måttet kompensere for grænserne i deres sikkerhedsarkitektur ved manuelt at korrelere signaler, rekonstruere kontekst og skifte mellem værktøjer for at samle den information og de kontroller, der er nødvendige for at handle. Undersøgelse, trusselsjagt, automatisering, hændelseshåndtering, trusselsforståelse og respons samles og er tilgængelige som standard, så teams kan organisere sig omkring sikkerhedsresultater snarere end grænserne mellem værktøjer. Efterhånden som autonomi vokser, skrev han, kan løkken absorbere mere af det løbende opdagelses- og forsvarsarbejde, mens agenter hjælper sikkerhedsfolkene med undersøgelse, ræsonnement og respons med den samme kontekst og kontrol, de allerede har til rådighed. Designet kræver ikke, at man samler et separat agentbaseret lag eller sammenstykker en ny driftsmodel.

ISOC i Microsoft Defender er tilgængelig i preview fra den 23. september 2026. Microsoft udgav også en optagelse af den fulde meddelelse og en hvidbog, “Agentic SOC: Den nye driftsmodel for kontinuerligt forsvar,” sammen med indlægget.