Kurumsal güvenlik operasyon merkezlerinde biriken alarm kuyruğu, yapay zekâ destekli yeni işleyişle yerini sürekli incelemeye bırakıyor. Ağ telemetrisi hacmi büyüdükçe analistlerin her sinyali tek tek ele alması zorlaşıyor; yeni yaklaşım ise alarmlar sıraya girmeden önce makinenin delil toplamasını ve yalnızca kanıt bulunan vakaları insanlara taşımasını hedefliyor.
Modelin merkezinde, saldırgan davranışını bir hipotez olarak ele alıp bunu ağ verisiyle sınayan agentic, yani otonom ajan tabanlı güvenlik operasyonları var. Bu yapı, alarmı görüldüğü anda inceleyip ardından karar vermek yerine önce etkinliği doğruluyor, ilgili varlığı profilliyor, geçmiş davranışı karşılaştırıyor ve yeterli kanıt oluşursa analiste devrediyor. Böylece triage süresi saatlerden dakikalara, bazı durumlarda saniyelere inebiliyor.
Metne göre agentic security operations güvenlik operasyonlarında paradigmayı değiştiriyor. İnceleme sırası da bu nedenle yeniden kuruluyor. Çünkü ajanlar telemetrinin büyük hacmini hızla analiz edebildiği için, alarm kuyruğu modeli tersine çevrilebiliyor: Önce inceleme, ardından kanıta göre yükseltme.
Önce kanıt, sonra sıra
Yeni modelde ajanlar, ağ trafiği ya da başka bir telemetri sinyali ortaya çıkar çıkmaz devreye giriyor. Önce tespitin geçerliliğini kontrol ediyor, ardından temel ağ etkinliğini inceliyor, etkilenen sistemi ya da kullanıcıyı profilliyor ve geçmiş davranışla karşılaştırma yapıyor. İlgili başka aktiviteleri de ilişkilendirerek ek kanıt topluyor.
Bu akışta bir alarmın analist dikkatini beklemesi gerekmiyor. Ajanlar eşzamansız çalışabiliyor, birden fazla vakayı aynı anda yürütebiliyor ve her biri için kanıt destekli bir çıktı üretebiliyor. Güvenlik ekipleri de manuel incelemeye ayırdıkları zamanı, daha sonra verilere dayalı karar verme aşamasına kaydırıyor.
Metinde aktarılan işleyişe göre agentic triage, yapılandırılmış inceleme oyun kitaplarını kullanarak derin ağ telemetrisini tarıyor ve sonucu veriyle desteklenen bir hüküm olarak sunuyor. Böylece sadece daha hızlı sınıflandırma yapılmıyor; insan kaynağı tüketmeden çok daha fazla sinyal de sorgulanabiliyor. Manuel inceleme basamağını ajan devraldığı için vaka, bir analistin önüne daha geniş bir veri setiyle geliyor.
Yazar, bu yaklaşımın alarmları yöneten kuyruğu aşmak için değil, aynı zamanda ekiplerin hangi sinyali önce ele alacağına insan kapasitesinden bağımsız biçimde karar verebilmesi için geliştirildiğini aktarıyor. Uzun alarm kuyrukları, güvenlik ekiplerini sinyallerin ne anlama geldiğini daha öğrenmeden hangi işareti analiz edeceklerine karar vermeye zorluyor. Agentic yapı ise bu baskıyı azaltmayı amaçlıyor.
Bu yaklaşımın asıl farkı, alarmın ötesinde ve alarmdan önce ne olduğuna bakması. Tehdit avcılığı artık “ne tespit edildi” sorusuyla başlamak zorunda değil; “saldırgan ne yapıyor” sorusuyla da ilerleyebiliyor.
Örneğin bir saldırgan komuta-kontrol için alışılmadık bir protokol kullanıyor olabilir. Uzak yönetim servisleri üzerinden yatay hareket ediyor, veri sızdırma için dosyaları hazırlıyor ya da normalde iletişim kurmaması gereken sistemler arasında trafik oluşturuyor olabilir. Daha düşük tespit eşiklerini aşmak için tasarlanmış bir teknik de kullanıyor olabilir. Bu senaryoların her biri ağ trafiğinde iz bırakıyor; ajan da bu izleri hipotezi doğrulamak ya da çürütmek için kullanıyor.
Burada amaç tespiti ortadan kaldırmak değil. Yapay zekâ destekli hipotez tabanlı avcılık, ağ verisini verifiye edilebilir tespitleri test etmek ve genişletmek için kullanıyor. Ağ telemetrisi, incelemenin temel kanıt tabanına dönüşüyor.
Ajanlar, şüpheli sinyal ortaya çıkar çıkmaz tespitin doğruluğunu sınayabiliyor, ilgili ağ etkinliğini açabiliyor, etkilenen varlığın profilini çıkarabiliyor ve geçmişteki davranışla eşleştirme yapabiliyor. Ek olarak ilişkili etkinlikleri korele ediyor ve veri setinden daha fazla kanıt topluyor. İnceleme bu aşamada insanın masasına gelmeden önce genişliyor.
İnsan müdahalesi beklemeden çalışabilen bir ajan, kesinlik oluşmadan da incelemeye başlayabiliyor. Zayıf bir sinyali takip edebiliyor, hipotezi test ediyor, delil onu desteklemiyorsa duruyor. İş değeri ise burada ortaya çıkıyor: Aynı ajan, hipotezini değiştirip döngüyü yeniden başlatabiliyor ve bunu insan analistten çok daha hızlı yapabiliyor.
Sistemin sorabileceği sorular da otomatikleşiyor: Hangi davranış olağandışı görünüyor, hangi ilişkiler daha ayrıntılı incelenmeli, hangi kanıt hipotezi destekliyor, hangisi ona ters düşüyor, belirsizliği azaltmak için daha neye bakılmalı, ne zaman insan dikkatini hak eden bir vakaya dönüştü? Yapay ajanlar, bu soruların her birini ağ etkinliği üzerinde yanıtlamaya çalışıyor.
Ortaya çıkan yapı, ağ etkinliği ile tespit ve doğrulanmış tehdit arasına ek bir inceleme katmanı koyuyor. İncelemelerin büyük bölümü insan dokunuşu olmadan tamamlanabiliyor. Yalnızca yükseltilmesi gereken vakalar ise kanıt ve bağlamla birlikte analiste ulaşıyor.
Ajan tabanlı modelin, geleneksel SOC akışından ayrıldığı nokta da burada netleşiyor. Klasik zincir alarm, kuyruk, analist, inceleme ve karar şeklinde işlerken; ajanlı model alarm, kuyruk, makine incelemesi, kanıt ve insan kararı sırasına geçiyor.
Tehdit avcılığında da benzer bir değişim var. Geleneksel yaklaşım telemetri, sinyal, analist, hipotez, inceleme ve karar olarak ilerlerken; yeni model telemetri, sinyal, hipotez, makine incelemesi, kanıt ve insan kararı şeklinde kurgulanıyor. Bu sayede inceleme kapsamı genişliyor, analist kapasitesiyle orantılı bir yük artışı oluşmuyor.
Metinde vurgulanan kazanımlar arasında her bir inceleme için daha düşük maliyet, daha geniş tehdit kapsamı, daha hızlı risk azaltımı, analist zamanının daha yüksek değerli işlere ayrılması ve telemetriden daha fazla fayda sağlanması yer alıyor. Ağ verisi, ham kayıt olmaktan çıkıp eyleme dönüştürülebilir kanıta dönüşüyor.
Kurgu, SOC’ta insanların tamamen devre dışı kalması anlamına gelmiyor. Ajanlar kanıt topluyor, sonucu hazırlıyor ve insan yalnızca yargı aşamasına geliyor. Bu modelde analistin rolü incelemeyi başlatmak değil, çıkan sonucun ne kadar sağlam olduğunu değerlendirmek oluyor.
Metinde aktarılan son çerçeveye göre sürekli çalışan, eşzamansız ve kanıt odaklı bir SOC yapısı öne çıkıyor. Alarm kuyruğunun ve insanın zaman sınırlı bakışının belirleyici olmadığı bu yapıda, inceleme sinyalden başlıyor, telemetriyle doğrulanıyor ve ancak yeterli delil varsa yükseltiliyor.
AI SOC modelinin yeni akışı da aynı çerçevede tarif ediliyor: Alarm, kuyruk, makine incelemesi, kanıt ve insan kararı. Yazar, bu modelde çoğu incelemenin insan müdahalesi olmadan tamamlanabildiğini, insanın ise kanıt ve bağlamla gelen vakalarda devreye girdiğini belirtiyor.
Bu modelin örneklandığı şirketlerden biri de ağ delili odaklı güvenlik ürünleri geliştiren Corelight. Şirket, güvenlik ekiplerinin karmaşık ve yapay zekâ destekli tehditleri tespit etmesi, olayları otonom biçimde incelemesi ve yanıt vermesi için gerekli ağ kanıtını sağladığını belirtiyor. Ürünün Open NDR Platform’u; yüksek doğruluklu ağ telemetrisi, çok katmanlı tespit ve yapay zekâ destekli incelemeyi hibrit, bulut ve yerleşik ortamlarda bir araya getiriyor.
Corelight, agentic triage yaklaşımının da bu platformun bir parçası olduğunu aktarıyor. Şirketin tarifine göre bu yapı, güvenlik ekiplerinin hem sofistike AI-driven tehditleri tespit etmesine hem de olayları agentic biçimde incelemesine yardımcı oluyor. Böylece ağ delili, sadece tespit aşamasında değil, inceleme ve yanıt sürecinde de merkezde tutuluyor.
Metin, yapay zekâ destekli hipotez tabanlı avcılığın tespiti ortadan kaldırmadığını da açıkça söylüyor. Aksine, ağ kanıtını kullanarak verifiye edilebilir tespitleri test ediyor ve genişletiyor. Bu noktada network telemetry, incelemenin temeli haline geliyor; ajanlar da çok sayıda incelemeyi paralel yürütürken bu telemetriden besleniyor.
Yeni yaklaşımda inceleme artık kuyruktan başlamak zorunda değil. Sinyal ortaya çıktığında başlayabiliyor, hipotezi sınayabiliyor ve tehdit gerçekten anlamlıysa sonuçları insan yargısına taşıyor. Metnin çizdiği SOC modeli, insan analistin zaman kısıtına bağlı olmadan sürekli ve eşzamansız çalışan bir inceleme katmanına dayanıyor.