Microsoft inför ISOC i Defender och förenar SIEM med hotskydd

Microsoft meddelade den 23 september 2026 det integrerade säkerhetsoperationscentret (ISOC) i Microsoft Defender, en grund för agentbaserad säkerhet som samlar hantering av säkerhetsinformation och händelser (SIEM) och hotskydd i ett system, tillgängligt i förhandsgranskning från och med tillkännagivandet.

Rob Lefferts, Corporate Vice President för Microsoft Threat Protection, tillkännagav ISOC i ett inlägg på Microsoft Security Blog, och beskrev det som en gemensam grund där människor och agenter kan se, förstå och agera i hela miljön utan att behöva köra separata system.

Varför Microsoft säger att SOC måste förändras

Motiveringen i Lefferts inlägg börjar med offensiven. Cyberangripare använder agenter för att automatisera utförandet i stor skala, skrev han, och arbete som tidigare krävde hela team kräver nu bara en enskild operatör och ett agentramverk. På grund av den förändringen kan säkerheten inte fungera i AI-hastighet när skydd och drift byggs som separata system: varje överlämning, integration och gränssnitt mellan dem saktar ner försvararna, och agenter som byggs ovanpå ärver den komplexiteten.

För att agentbaserad säkerhet ska fungera, skrev han, behöver branschen en modern cyberstack med miljöomfattande synlighet och djup nog att undersöka och agera, där säkerhetsdrift och inbyggt skydd fungerar som ett system.

Cyberstacken med sex lager bakom ISOC

ISOC bygger på den arkitektur som Microsoft introducerade den 27 juli 2026, när de presenterade den heltäckande cyberstacken tillsammans med Project Perception, ett agentbaserat säkerhetssystem. Den officiella Microsoft‑bloggen beskrev Project Perception som samordnande tre klasser av specialiserade agenter: röda team‑agenter som kartlägger potentiella inträdesvägar innan angripare kan utnyttja dem, blåa team‑agenter som undersöker och väger kontext för att avgöra vad som utgör meningsfull risk, och gröna team‑agenter som vidtar korrigerande åtgärder och förstärker försvar över hela miljön.

Stacken har sex lager: signaler och sensorer, kontext, modeller, ett samordningsramverk, agenter och verkställare. I Microsofts beskrivning i juli ger signaler och sensorer medvetenhet över den digitala egendomen, kontext omvandlar dessa signaler till token‑effektiv förståelse som agenter kan konsumera, modeller levererar intelligens och resonemang, ramverket koordinerar modeller och agenter över säkerhetsarbetsflöden, och verkställare översätter beslut till skydd. Microsoft sade också att Project Perception använder en multimodellarkitektur som kombinerar frontiermodeller och specialiserade cybermodeller, och att systemet skulle gå in i offentlig förhandsgranskning den 3 augusti 2026.

Inom ISOC skrev Lefferts att signaler och sensorer ger medvetenhet, kontext omvandlar dessa signaler till förståelse, och verkställare omvandlar insikter till skyddsåtgärder. Agenter bidrar med hastighet och skala för kontinuerlig verkställning, medan människor sätter prioriteringar, använder omdöme och definierar resultat.

Den integrerade skyddsloopen och praktikerdesignen

Microsoft sade att ISOC får signaler, kontext och kontroller att fungera som en enhet, och ersätter linjära säkerhetsarbetsflöden med en integrerad skyddsloop som kontinuerligt återför vad försvararna lär sig till ett starkare skydd före intrång. Attackstörning i Microsoft Defender illustrerar modellen, enligt inlägget: rik telemetri och kontroller låter systemet upptäcka, förutsäga och anpassa sig till en angripare medan attacken utvecklas, avbryta aktiva hot och förutse var en angripare kan röra sig härnäst. Loopen använder insikter om exponering för att stärka skyddet i nästan realtid, sade Microsoft, med hotinformation som riktar loopens fokus mot de hot som är mest betydelsefulla.

ISOC samlar de funktioner som behövs för att göra den loopen inbyggd, sade Microsoft, vilket eliminerar behovet för kunder att själva sätta ihop, finjustera och underhålla den, och när skyddet utvecklas kan ytterligare funktioner anslutas till loopen.

För praktikerna skrev Lefferts att ISOC förändrar en utgångspunkt där de länge har behövt kompensera för gränserna i sin säkerhetsarkitektur, manuellt korrelera signaler, återuppbygga kontext och hoppa mellan verktyg för att samla den information och de kontroller som behövs för att agera. Undersökning, hotjakt, automatisering, incidenthantering, hotförståelse och svar samlas och är tillgängliga som standard, så att team kan organisera sig kring säkerhetsresultat snarare än verktygsgränser. Allteftersom autonomin ökar, skrev han, kan loopen absorbera mer av det pågående detekterings- och försvarsarbetet, medan agenter hjälper praktikerna med undersökning, resonemang och svar med samma kontext och kontroller som redan finns tillgängliga. Designen kräver inget separat agentbaserat lager för att sätta ihop och ingen ny driftmodell att väva samman.

ISOC i Microsoft Defender finns tillgängligt i förhandsgranskning från och med den 23 september 2026. Microsoft har också släppt en inspelning av hela tillkännagivandet samt ett whitepaper, “Agentic SOC: Den nya driftsmodellen för kontinuerligt försvar,” tillsammans med inlägget.