Proč klasický SOC nestačí¶
Průměrný SOC analytik zpracuje za směnu 50–80 alertů. Moderní SIEM generuje tisíce denně. Výsledek? Alert fatigue, přehlédnuté incidenty, vyhoření lidí. Podle IBM X-Force 2025 trvá průměrná detekce breache 197 dní. To není bezpečnost — to je iluze bezpečnosti.
AI agenti tento problém řeší fundamentálně jinak než tradiční automatizace (SOAR playbooks). Nejenže reagují na pravidla — rozumí kontextu, eskalují inteligentně a učí se z každého incidentu.
Architektura autonomního SOC¶
┌─────────────────────────────────────────┐
│ Orchestrátor │
│ (prioritizace, eskalace, reporting) │
├──────┬──────┬──────┬──────┬────────────┤
│ Triage│ Hunt │ IR │Intel │ Compliance│
│ Agent │Agent │Agent │Agent │ Agent │
├──────┴──────┴──────┴──────┴────────────┤
│ Sdílená paměť (VectorDB) │
├────────────────────────────────────────┤
│ SIEM / EDR / NDR / Cloud Logs │
└────────────────────────────────────────┘
1. Triage Agent¶
Přijímá raw alerty a provádí prvotní klasifikaci:
- Korelace — spojuje související alerty do incidentů (IP, user, časové okno)
- Obohacení — automaticky dotahuje kontext z AD, CMDB, threat intel feedů
- Scoring — dynamický risk score na základě asset criticality, user behavior baseline, IOC match
- Rozhodnutí — false positive (close), low-risk (queue), high-risk (eskalace na IR Agent)
Výsledek: z 3000 denních alertů projde k lidskému analytikovi 15–30 skutečných incidentů.
2. Threat Hunting Agent¶
Proaktivně hledá hrozby, které žádné pravidlo nezachytí:
- Hypothesis-driven hunting — generuje hypotézy na základě aktuálních TTPs (MITRE ATT&CK)
- Anomaly detection — baseline chování uživatelů, procesů, síťových toků
- Lateral movement detection — graph analysis přístupů mezi systémy
- Living-off-the-land — detekce zneužití legitimních nástrojů (PowerShell, WMI, certutil)
3. Incident Response Agent¶
Autonomní response s lidským dohledem:
- Containment — izolace endpointu, blokování IP, revokace session tokenu
- Evidence collection — automatický sběr forensic artefaktů (memory dump, disk image, logy)
- Root cause analysis — trasování kill chainu od initial access po impact
- Remediation playbook — generuje specifické kroky pro daný typ incidentu
Klíčové pravidlo: Destruktivní akce (wipe, full isolation) VŽDY vyžadují lidské schválení. Agent navrhuje, člověk potvrzuje.
4. Threat Intel Agent¶
Kontinuální monitoring threat landscape:
- Feed aggregace — OSINT, komerční feedy, dark web monitoring
- IOC matching — automatická korelace s interní telemetrií
- TTP tracking — mapování na MITRE ATT&CK, prioritizace podle relevance pro organizaci
- Briefing generace — denní/týdenní threat briefing pro management
5. Compliance Agent¶
Zajišťuje soulad s regulacemi:
- Continuous monitoring — NIS2, ISO 27001, SOC 2 kontroly v reálném čase
- Evidence collection — automatický sběr důkazů pro audit
- Gap detection — identifikace nesouladů PŘED auditem
- Reporting — regulatorní reporty (GDPR breach notification, NIS2 incident reporting)
Praktická implementace¶
Stack 2026¶
| Vrstva | Technologie |
|---|---|
| LLM backbone | Claude Opus / GPT-5 (reasoning), Llama 3.3 70B (local, low-latency triage) |
| Orchestrace | LangGraph / CrewAI / vlastní actor-based kernel |
| Vektorová DB | ChromaDB / Qdrant (threat intel, incident history) |
| SIEM integrace | Elastic SIEM, Splunk, Microsoft Sentinel (API) |
| EDR | CrowdStrike, SentinelOne, Microsoft Defender (API) |
| Komunikace | Slack/Teams webhooks, PagerDuty eskalace |
Fáze nasazení¶
Phase 1 (měsíc 1–2): Read-only observer - Agent pouze pozoruje a klasifikuje - Porovnání s rozhodnutími lidských analytiků - Kalibrace false positive rate
Phase 2 (měsíc 3–4): Doporučující - Agent navrhuje akce, člověk schvaluje - Měření: mean time to detect (MTTD), mean time to respond (MTTR) - Iterace na základě zpětné vazby
Phase 3 (měsíc 5+): Semi-autonomní - Nízko-rizikové akce automaticky (block known-bad IP, close FP) - Střední riziko s auto-approve po timeout (15 min) - Vysoké riziko vždy s lidským schválením
Metriky úspěchu¶
| Metrika | Před AI | Po AI (Phase 3) |
|---|---|---|
| MTTD | 197 dní | < 4 hodiny |
| MTTR | 69 dní | < 2 hodiny |
| False positive rate | 80% | < 15% |
| Alerty zpracované/den | 80 | 3000+ |
| Analyst burnout | Vysoký | Nízký |
Rizika a limity¶
- Adversarial AI — útočníci budou adaptovat taktiky na AI detection. Řešení: red team testing, adversarial training.
- Hallucination risk — LLM může vygenerovat falešné IOC nebo chybnou root cause. Řešení: ground truth validace, confidence scoring.
- Over-automation — příliš agresivní containment může způsobit business outage. Řešení: blast radius limity, business hour awareness.
- Vendor lock-in — závislost na jednom LLM provideru. Řešení: abstrakční vrstva, multi-model routing.
Závěr¶
Autonomní SOC není sci-fi — v roce 2026 je to architektonické rozhodnutí. Klíč není nahradit lidi, ale dát jim superschopnosti. AI agenti zpracují šum, lidé řeší to, co skutečně vyžaduje úsudek.
CORE SYSTEMS implementuje tyto architektury pro organizace, které berou bezpečnost vážně. Ne jako checkbox pro audit — jako skutečnou obranu.
Potřebujete autonomní SOC? Kontaktujte nás pro architektonickou konzultaci.