Microsoft leva o ISOC ao Defender e une SIEM e proteção contra ameaças

A Microsoft anunciou em 23 de setembro de 2026 o centro integrado de operações de segurança (ISOC) no Microsoft Defender, uma base para a segurança com agentes que reúne o gerenciamento de informações e eventos de segurança (SIEM) e a proteção contra ameaças em um único sistema, disponível em versão prévia na data do anúncio.

Rob Lefferts, vice-presidente corporativo de Microsoft Threat Protection, anunciou o ISOC em uma publicação do Microsoft Security Blog e o descreveu como uma base compartilhada na qual pessoas e agentes podem ver, compreender e agir em todo o ambiente sem operar sistemas separados.

Por que a Microsoft afirma que o SOC precisa mudar

A justificativa apresentada na publicação de Lefferts começa pelo ataque. Os ciberatacantes estão usando agentes para automatizar a execução em grande escala, escreveu ele, e um trabalho que antes exigia equipes inteiras agora requer apenas um operador e uma estrutura de agentes. Devido a essa mudança, a segurança não consegue operar na velocidade da AI quando proteção e operações são construídas como sistemas separados: cada transferência, integração e limite entre eles desacelera os defensores, e os agentes construídos sobre essa estrutura herdam a complexidade.

Para que a segurança com agentes funcione, escreveu ele, o setor precisa de uma pilha cibernética moderna, com visibilidade de todo o ambiente e profundidade para investigar e agir, na qual as operações de segurança e a proteção nativa funcionem como um único sistema.

A pilha cibernética de seis camadas por trás do ISOC

O ISOC se baseia na arquitetura apresentada pela Microsoft em 27 de julho de 2026, quando a empresa mostrou a pilha cibernética de ponta a ponta junto com o Project Perception, um sistema de segurança com agentes. O Official Microsoft Blog descreveu o Project Perception como um coordenador de três classes de agentes especializados: agentes de equipe vermelha que mapeiam possíveis caminhos para comprometimento antes que atacantes possam explorá-los, agentes de equipe azul que investigam e ponderam o contexto para determinar o que constitui um risco relevante, e agentes de equipe verde que tomam medidas corretivas e reforçam as defesas em todo o ambiente.

A pilha tem seis camadas: sinais e sensores, contexto, modelos, um sistema de coordenação, agentes e atuadores. Na descrição da Microsoft de julho, sinais e sensores fornecem percepção de todo o patrimônio digital; o contexto transforma esses sinais em uma compreensão eficiente em tokens que os agentes podem consumir; os modelos fornecem inteligência e raciocínio; o sistema de coordenação organiza modelos e agentes nos fluxos de trabalho de segurança; e os atuadores convertem decisões em proteção. A Microsoft também afirmou que o Project Perception usa uma arquitetura multimodelo que combina modelos de ponta e modelos cibernéticos especializados, e que o sistema entraria em versão prévia pública em 3 de agosto de 2026.

No ISOC, escreveu Lefferts, sinais e sensores fornecem percepção, o contexto converte esses sinais em compreensão e os atuadores convertem conclusões em ações protetoras. Os agentes oferecem a velocidade e a escala necessárias para execução contínua, enquanto as pessoas definem prioridades, aplicam julgamento e determinam resultados.

O ciclo integrado de proteção e o projeto para profissionais

A Microsoft afirmou que o ISOC faz sinais, contexto e controles funcionarem como um único conjunto, substituindo fluxos de trabalho lineares de segurança por um ciclo integrado de proteção que continuamente devolve o aprendizado dos defensores a uma proteção mais robusta antes da violação. Segundo a publicação, a interrupção de ataques no Microsoft Defender exemplifica o modelo: telemetria e controles ricos permitem que o sistema detecte, preveja e se adapte a um atacante enquanto o ataque ocorre, interrompendo ameaças ativas e antecipando para onde o atacante pode avançar. O ciclo usa informações de exposição para fortalecer a proteção quase em tempo real, afirmou a Microsoft, enquanto a inteligência sobre ameaças o concentra nas ameaças mais importantes.

O ISOC reúne de forma nativa os recursos necessários para executar esse ciclo, afirmou a Microsoft, eliminando a necessidade de os clientes montarem, ajustarem e manterem o sistema por conta própria. À medida que a proteção evolui, recursos adicionais podem ser incorporados ao ciclo.

Para os profissionais, escreveu Lefferts, o ISOC muda um ponto de partida no qual eles há muito precisam compensar os limites de sua arquitetura de segurança, correlacionando sinais manualmente, reconstruindo contexto e alternando entre ferramentas para reunir as informações e os controles necessários para agir. Investigação, caça a ameaças, automação, gerenciamento de incidentes, compreensão de ameaças e resposta são reunidos e disponibilizados por padrão, para que as equipes possam se organizar em torno de resultados de segurança, e não dos limites entre ferramentas. À medida que a autonomia aumenta, escreveu ele, o ciclo pode absorver uma parcela maior do trabalho contínuo de detecção e defesa, enquanto os agentes ajudam nas investigações, no raciocínio e na resposta dos profissionais usando o mesmo contexto e os controles que eles já têm à disposição. O projeto não exige a montagem de uma camada separada de agentes nem um novo modelo operacional a ser integrado.

O ISOC no Microsoft Defender está disponível em versão prévia desde 23 de setembro de 2026. Junto com a publicação, a Microsoft também disponibilizou uma gravação do anúncio completo e um documento técnico, “Agentic SOC: The new operating model for continuous defense”.