Microsoft introduserer ISOC i Defender, og forener SIEM og trusselbeskyttelse

Microsoft kunngjorde den 23. september 2026 integrert sikkerhetsoperasjonssenter (ISOC) i Microsoft Defender, et grunnlag for agentbasert sikkerhet som samler sikkerhetsinformasjon og hendelsesadministrasjon (SIEM) og trusselbeskyttelse i ett system, tilgjengelig i forhåndsvisning fra kunngjøringen.

Rob Lefferts, Corporate Vice President for Microsoft Threat Protection, kunngjorde ISOC i et innlegg på Microsoft Security Blog, og beskrev det som et delt grunnlag som folk og agenter kan se, forstå og handle på tvers av miljøet uten å måtte bruke separate systemer.

Hvorfor Microsoft sier at SOC må endres

Begrunnelsen i Lefferts’ innlegg starter med offensiven. Kryptoangripere bruker agenter til å automatisere utførelse i stor skala, skrev han, og arbeid som tidligere krevde hele team nå kun krever én operatør og et agentrammeverk. På grunn av dette skiftet kan sikkerhet ikke operere i AI-hastighet når beskyttelse og operasjoner er bygget som separate systemer: hver overlevering, integrasjon og grense mellom dem bremser forsvarerne, og agenter som er bygget på toppen arver den kompleksiteten.

For at agentbasert sikkerhet skal fungere, skrev han, trenger bransjen en moderne cybersøyle med synlighet på tvers av hele miljøet og dybde til å undersøke og handle, med sikkerhetsoperasjoner og innebygd beskyttelse som fungerer som ett system.

Den sekslagers cybersøyle bak ISOC

ISOC bygger på arkitekturen Microsoft introduserte 27. juli 2026, da de presenterte den ende-til-ende cybersøylen sammen med Project Perception, et agentbasert sikkerhetssystem. Den offisielle Microsoft Blog beskrev Project Perception som koordinerende tre klasser av spesialiserte agenter: rødt lag-agenter som kartlegger potensielle kompromisseruter før angripere kan utnytte dem, blått lag-agenter som undersøker og vurderer kontekst for å avgjøre hva som utgjør meningsfull risiko, og grønt lag-agenter som iverksetter korrigerende tiltak og styrker forsvar på tvers av miljøet.

Søylen har seks lag: signaler og sensorer, kontekst, modeller, en ramme, agenter og aktuatorer. I Microsofts beskrivelse fra juli gir signaler og sensorer bevissthet over det digitale området, kontekst omformer disse signalene til token‑effektiv forståelse som agenter kan bruke, modeller leverer intelligens og resonnering, rammen koordinerer modeller og agenter på tvers av sikkerhetsarbeidsflyter, og aktuatorer oversetter beslutninger til beskyttelse. Microsoft sa også at Project Perception bruker en multimodellarkitektur som kombinerer frontlinje‑ og spesialiserte cybersikkerhetsmodeller, og at systemet vil gå inn i offentlig forhåndsvisning 3. august 2026.

Innenfor ISOC skrev Lefferts at signaler og sensorer gir bevissthet, kontekst omformer disse signalene til forståelse, og aktuatorer omformer innsikt til beskyttende handling. Agenter bidrar med hastighet og skala for kontinuerlig utførelse, mens mennesker setter prioriteringer, utøver skjønn og definerer resultater.

Den integrerte beskyttelsesløkken og designet for praktikere

Microsoft sa at ISOC får signaler, kontekst og kontroller til å fungere som ett, og erstatter lineære sikkerhetsarbeidsflyter med en integrert beskyttelsesløkke som kontinuerlig gir det forsvarerne lærer tilbake til sterkere beskyttelse før brudd. Angrepsavbrudd i Microsoft Defender illustrerer modellen, ifølge innlegget: rik telemetri og kontroller lar systemet oppdage, forutsi og tilpasse seg en angriper mens angrepet utvikler seg, avbryter aktive trusler og forutsier hvor en angriper kan bevege seg neste. Løkken bruker eksponeringsinnsikt til å styrke beskyttelsen i nesten sanntid, sa Microsoft, med trusselinformasjon som fokuserer på de truslene som er mest relevante.

ISOC samler de nødvendige funksjonene for å gjøre den løkken innebygd, sa Microsoft, og fjerner behovet for at kunder må sette den sammen, finjustere og vedlikeholde den selv, og etter hvert som beskyttelsen utvikles, kan ytterligere funksjoner bli med i løkken.

For praktikere skrev Lefferts at ISOC endrer utgangspunktet der de lenge har måttet kompensere for grensene i sikkerhetsarkitekturen, manuelt korrelere signaler, rekonstruere kontekst og hoppe mellom verktøy for å samle informasjonen og kontrollene som trengs for å handle. Undersøkelser, jakt, automatisering, hendelseshåndtering, trusselforståelse og respons samles og er tilgjengelige som standard, slik at team kan organisere seg rundt sikkerhetsresultater i stedet for grensene mellom verktøy. Etter hvert som autonomi øker, skrev han at løkken kan absorbere mer av den pågående deteksjons‑ og forsvarsarbeidet, mens agenter hjelper praktikernes undersøkelse, resonnering og respons med samme kontekst og kontroller de allerede har. Designet krever ingen separat agentbasert lag for samling og ingen ny driftsmodell for å sy alt sammen.

ISOC i Microsoft Defender er tilgjengelig i forhåndsvisning fra 23. september 2026. Microsoft publiserte også et opptak av hele kunngjøringen og en hvitbok, “Agentic SOC: Den nye driftsmodellen for kontinuerlig forsvar,” sammen med innlegget.