Microsoft brengt ISOC naar Defender en verenigt SIEM met bescherming tegen bedreigingen

Microsoft kondigde op 23 september 2026 het geïntegreerde beveiligingscentrum (ISOC) in Microsoft Defender aan. Deze basis voor beveiliging met agenten brengt beheer van beveiligingsinformatie en gebeurtenissen (SIEM) en bescherming tegen bedreigingen samen in één systeem en was vanaf de aankondiging als preview beschikbaar.

Rob Lefferts, Corporate Vice President van Microsoft Threat Protection, kondigde ISOC aan in een bericht op het Microsoft Security Blog. Hij omschreef het als een gedeelde basis waarop mensen en agenten het hele systeem kunnen zien en begrijpen en daarin kunnen handelen zonder afzonderlijke systemen te gebruiken.

Waarom het SOC volgens Microsoft moet veranderen

De redenering in Lefferts’ bericht begint bij de aanval. Cyberaanvallers gebruiken agenten om de uitvoering op grote schaal te automatiseren, schreef hij, en werk dat vroeger complete teams vereiste, vraagt nu om één operator en een raamwerk voor agenten. Door die verschuiving kan beveiliging niet op AI-snelheid werken wanneer bescherming en operationele processen als afzonderlijke systemen zijn opgebouwd: elke overdracht, integratie en grens ertussen vertraagt verdedigers, en agenten die daarbovenop zijn gebouwd, erven die complexiteit.

Om beveiliging met agenten te laten werken, schreef hij, heeft de sector een moderne cyberstapel nodig met zichtbaarheid over de hele omgeving en de diepgang om te onderzoeken en in te grijpen, waarbij beveiligingsoperaties en ingebouwde bescherming als één systeem functioneren.

De cyberstapel met zes lagen achter ISOC

ISOC bouwt voort op de architectuur die Microsoft op 27 juli 2026 introduceerde, toen het de volledige cyberstapel presenteerde naast Project Perception, een beveiligingssysteem met agenten. Het Official Microsoft Blog omschreef Project Perception als een coördinator van drie categorieën gespecialiseerde agenten: agenten van het rode team die mogelijke routes naar compromittering in kaart brengen voordat aanvallers ze kunnen benutten, agenten van het blauwe team die onderzoek doen en de context wegen om vast te stellen wat een betekenisvol risico vormt, en agenten van het groene team die corrigerende maatregelen nemen en de verdediging in de hele omgeving versterken.

De stapel heeft zes lagen: signalen en sensoren, context, modellen, een coördinatieraamwerk, agenten en actuatoren. In Microsofts beschrijving uit juli zorgen signalen en sensoren voor inzicht in de hele digitale omgeving, zet context die signalen om in een token-efficiënt begrip dat agenten kunnen gebruiken, leveren modellen intelligentie en redeneervermogen, coördineert het raamwerk modellen en agenten in beveiligingswerkstromen, en zetten actuatoren beslissingen om in bescherming. Microsoft zei ook dat Project Perception een architectuur met meerdere modellen gebruikt die toonaangevende en gespecialiseerde cybermodellen combineert, en dat het systeem op 3 augustus 2026 als openbare preview beschikbaar zou komen.

Binnen ISOC leveren signalen en sensoren volgens Lefferts bewustzijn, zet context die signalen om in begrip en zetten actuatoren inzichten om in beschermende maatregelen. Agenten leveren snelheid en schaal voor voortdurende uitvoering, terwijl mensen prioriteiten stellen, hun oordeel toepassen en resultaten bepalen.

De geïntegreerde beschermingslus en het ontwerp voor professionals

Microsoft zei dat ISOC signalen, context en beheersmaatregelen als één geheel laat werken en lineaire beveiligingswerkstromen vervangt door een geïntegreerde beschermingslus die wat verdedigers leren voortdurend terugvoert naar sterkere bescherming vóór een inbreuk. Volgens het bericht laat aanvalsonderbreking in Microsoft Defender het model zien: rijke telemetrie en beheersmaatregelen stellen het systeem in staat om een aanvaller tijdens een aanval te detecteren, te voorspellen en zich eraan aan te passen, actieve bedreigingen te onderbreken en te voorzien waar een aanvaller daarna naartoe kan gaan. De lus gebruikt inzichten in blootstelling om de bescherming vrijwel in realtime te versterken, aldus Microsoft, waarbij informatie over bedreigingen de aandacht richt op de belangrijkste risico’s.

ISOC brengt de mogelijkheden die nodig zijn om die lus ingebouwd te laten werken samen, zei Microsoft. Daardoor hoeven klanten deze niet zelf te monteren, af te stemmen en te onderhouden, en naarmate de bescherming zich ontwikkelt, kunnen aanvullende mogelijkheden aan de lus worden toegevoegd.

Voor professionals verandert ISOC volgens Lefferts een uitgangssituatie waarin zij lange tijd de grenzen van hun beveiligingsarchitectuur moesten compenseren door signalen handmatig te correleren, context opnieuw op te bouwen en tussen hulpmiddelen te wisselen om de informatie en beheersmaatregelen voor een ingreep bijeen te brengen. Onderzoek, opsporing, automatisering, incidentbeheer, inzicht in bedreigingen en reactie worden samengebracht en zijn standaard beschikbaar, zodat teams zich kunnen organiseren rond beveiligingsresultaten in plaats van rond de grenzen tussen hulpmiddelen. Naarmate de autonomie toeneemt, schreef hij, kan de lus meer van het voortdurende detectie- en verdedigingswerk opnemen, terwijl agenten professionals helpen bij onderzoek, redeneren en reageren met dezelfde context en beheersmaatregelen die zij al tot hun beschikking hebben. Het ontwerp vereist geen afzonderlijke laag met agenten die moet worden opgebouwd en geen nieuw operationeel model dat aan elkaar moet worden gekoppeld.

ISOC in Microsoft Defender is sinds 23 september 2026 als preview beschikbaar. Microsoft bracht naast het bericht ook een opname van de volledige aankondiging en een witboek uit, “Agentic SOC: The new operating model for continuous defense”.