Introduzione

Microsoft presenta un nuovo modello per le operazioni di sicurezza: l'agentic SOC. Per i responsabili IT e della sicurezza, questo è rilevante perché la crescente complessità degli attacchi, il volume degli alert e le minacce cross-domain hanno reso più difficile sostenere i tradizionali flussi di lavoro SOC guidati dall'uomo. Le ultime linee guida di Microsoft inquadrano gli agenti AI e la difesa autonoma come il passo successivo per scalare il SecOps.

Cos'è l'agentic SOC?

Secondo Microsoft, l'agentic SOC sposta la sicurezza da una gestione principalmente reattiva degli incidenti verso la capacità di anticipare il comportamento degli attaccanti e interromperlo prima. Il modello combina:

• Interruzione autonoma delle minacce integrata nella piattaforma di sicurezza
• Agenti AI che supportano indagine, correlazione, prioritizzazione e risposta
• Supervisione umana focalizzata su giudizio, governance e decisioni strategiche

Nell'esempio di Microsoft, un tentativo di furto di credenziali potrebbe attivare automaticamente il blocco dell'account e l'isolamento del dispositivo in pochi secondi, mentre un agente AI indaga l'attività correlata tra segnali di identità, endpoint, email e cloud.

Cosa c'è di nuovo nel messaggio di Microsoft

Il blog e il whitepaper di Microsoft evidenziano un modello a due livelli per il futuro del SecOps:

1. Difesa autonoma integrata

Questo livello fondamentale gestisce automaticamente le minacce ad alta confidenza tramite controlli vincolati da policy. Microsoft afferma che questa capacità è già operativa su larga scala, con attacchi ransomware interrotti in una media di tre minuti e decine di migliaia di attacchi contenuti ogni mese.

2. Flussi operativi guidati da agenti

Al di sopra di questo livello, gli agenti AI aiutano con triage, indagini e analisi cross-domain. Microsoft afferma che i test interni mostrano che gli agenti possono automatizzare il 75% delle indagini su phishing e malware in ambienti reali sotto la supervisione dei defender.

Impatto sui team IT e sicurezza

Per i team SOC, il punto pratico non è la sostituzione completa degli analisti, ma un cambiamento di ruolo:

• Gli analisti passano dal triage degli alert alla supervisione dei risultati e alla gestione dei casi ambigui
• I detection engineer si concentrano maggiormente sulla qualità dei segnali, sulle soglie di confidenza e sulla logica di automazione
• I responsabili della sicurezza dovranno rafforzare la governance sul comportamento degli agenti, sui percorsi di escalation e sulla regolazione delle policy

Questo rafforza anche la necessità di strumenti integrati tra sicurezza di identità, endpoint, cloud ed email per rendere utili le indagini guidate dagli agenti.

Cosa dovrebbero fare ora gli amministratori

Gli amministratori della sicurezza e i responsabili SOC dovrebbero considerare questi prossimi passi:

• Esaminare il nuovo whitepaper di Microsoft sulla roadmap dell'agentic SOC
• Valutare dove la risposta autonoma è già abilitata in Microsoft Defender
• Identificare i flussi di indagine ripetitivi che potrebbero essere automatizzati in sicurezza
• Definire controlli di governance per le indagini assistite da AI e le azioni automatiche
• Rivalutare i ruoli SOC, in particolare per quanto riguarda detection engineering e supervisione

In sintesi

La visione di Microsoft per l'agentic SOC è una roadmap strategica per la prossima fase del SecOps: meno triage manuale, interruzione più rapida e maggiore focus umano su resilienza e riduzione del rischio. Le organizzazioni che hanno già investito in Microsoft Defender e nelle più ampie capacità XDR saranno nella posizione migliore per testare presto questo modello.