Wie ooit een Security Operations Center (SOC) draaide, herkent het patroon: meldingen stapelen zich op in een alertqueue. Een detectie-engine kent een ernstscore toe, maar daarna wordt het wachten op menselijke beoordeling de bottleneck. In dit model blijft een groot deel van de meldingen uiteindelijk buiten het bereik van analisten.
De laatste generatie SOC-ontwerpen kiest voor een andere manier van werken. De kern is een AI SOC zonder alertqueue: niet eerst parkeren op een backlog, maar onmiddellijk onderzoeken met AI-agents die netwerktelemetrie omzetten in onderbouwd bewijs. Het gevolg is minder wachttijd, meer onderzoek per signaal en een duidelijker moment waarop mensen hun oordeel geven.
Waarom de alertqueue een structureel probleem blijft
Een traditionele SOC is vaak gebouwd rond een wachtrij. Een alert komt binnen, krijgt een severity-score en belandt vervolgens in een rij die beheerd moet worden door schaarse menselijke capaciteit. De security stack genereert immers grote volumes aan netwerkdata en loginformatie. Daardoor ontstaat automatisch de vraag: welke signalen moeten eerst, zelfs voordat je weet wat ze precies betekenen?
De queue is dus geen incident, maar een ontwerpkeuze die voortkomt uit menselijke rolverdeling. Analisten zijn het onderzoeks- en beslisknooppunt. Maar als het werktempo niet kan meegroeien met de hoeveelheid signalen, blijven teams achter in triage en wordt “achteraf beter” het nieuwe uitgangspunt.
Threat hunting probeerde dit te doorbreken met een andere start: een hypothese over het gedrag van een aanvaller, vervolgens bewijs zoeken. Toch botste ook deze aanpak op dezelfde menselijke limiet. Je kunt veel theorieën testen, maar het vergt capaciteit om het bewijs te verzamelen, te interpreteren en de bevindingen te valideren.
Agentic security operations: snelheid én een andere volgorde
Agentic security operations veranderen het paradigma. In plaats van alleen te kijken naar een alert en daarna te wachten op menselijke analyse, kunnen AI-agents al vroeg in het proces starten met onderzoek. In veel ontwerpen gebeurt dat in minuten of zelfs sneller, maar de echte verschuiving zit in de volgorde van het werk.
Waar een traditionele aanpak vaak luidt: alert → queue → analyst → investigation → disposition, wordt bij een AI SOC zonder alertqueue de kern: alert → machine investigation → evidence → human judgment. Mensen komen pas in beeld wanneer er een pakket aan informatie klaarstaat dat helpt om een beslissing te nemen.
Daarnaast kunnen agents parallel werken. Dat is belangrijk, want het is niet alleen een kwestie van “sneller”, maar ook van “meerdere dingen tegelijk onderzoeken zonder dat analisten hoeven te multitasken tussen cases”.
Hoe “onderzoek eerst, escaleren later” in de praktijk werkt
Een agent kan een signaal beoordelen zodra het binnenkomt. Vervolgens gaat het dieper dan alleen de detectie: de agent valideert de alert, bekijkt bijbehorende netwerkactiviteit, profileert de betrokken entiteit (zoals host of gebruiker), analyseert historisch gedrag en zoekt samenhang met andere gebeurtenissen. In plaats van één losse melding krijgt de case context op basis van telemetrie.
Die aanpak leunt op gestructureerde playbooks. Daarmee doorloopt de agent vaste stappen voor diepgaande analyse en verzamelt het bewijsmateriaal uit de beschikbare data. Niet alleen voor snelheid, maar ook voor consistentie: het resultaat is niet “een vermoeden”, maar een onderbouwd overzicht met feiten die het proces kunnen dragen.
Door die automatisering verdwijnt de noodzaak van een handmatige onderzoeksstap voordat er überhaupt duidelijkheid is. De agent benut bovendien een breder deel van de netwerkgegevens voordat een zaak naar een analist gaat. Daardoor wordt de menselijke beslissing beter geïnformeerd en hoeft de SOC minder afhankelijk te zijn van “wie pakt welke case eerst”.
Threat hunting op machineschaal: hypotheses met netwerkbewijs
Threat hunting hoeft niet per se te beginnen met de vraag “wat is er gedetecteerd?”. Het kan ook starten met “wat doet de aanvaller nu?”. Als agents hypotheses kunnen testen op basis van netwerktelemetrie, ontstaat er een aanpak die beter schaalbaar is dan klassieke, handmatige hunting.
Concreet kunnen agents hypotheses formuleren zoals:
- een aanvaller gebruikt een ongebruikelijk protocol voor command and control;
- de aanvaller beweegt lateraal via remote admin-achtige paden;
- er worden gegevens gestaged voor exfiltratie;
- een systeem communiceert met endpoints waarmee het normaal geen reden heeft om contact te zoeken;
- de techniek is ontworpen om onder bestaande detectiedrempels te blijven.
Elke hypothese is gekoppeld aan waarneembaar gedrag. Netwerkverkeer bevat bewijs dat een hypothese kan ondersteunen of juist kan tegenspreken. Dat maakt het mogelijk om de betekenis van een gedetecteerd signaal te beoordelen: is het daadwerkelijk relevant, of valt het te herleiden tot normaal gedrag?
Belangrijk is dat AI-gestuurd hypothesejagen detectie niet vervangt. Het bouwt voort op verifieerbare signalen en gebruikt netwerkbewijs om detecties te toetsen, uit te breiden en scherper te maken. Telemetrie wordt de basis voor onderzoek in plaats van een bijproduct van logging.
Begin zonder zekerheid: agents kunnen vroeg stoppen
Een ander voordeel van agentic investigation is dat een agent niet hoeft te wachten op “zekerheid” om te starten. Het proces kan worden iteratief opgebouwd: het team stelt een hypothese op, de agent test die, en als het bewijs niet aansluit, stopt het onderzoek of past het de richting aan.
Deze cyclus kan sneller en vaker draaien dan een menselijke analist kan. Daarbij kan de agent vragen stellen zoals:
- wat oogt ongebruikelijk in het netwerkgedrag?
- welke relaties verdienen extra onderzoek?
- welk bewijs ondersteunt de hypothese?
- welk bewijs spreekt de hypothese tegen?
- welke aanvullende datapunten verminderen onzekerheid?
- wanneer is het niveau van bewijs voldoende om menselijke aandacht te verdienen?
Zo ontstaat een extra onderzoekslaag tussen netwerkactiviteit, detectie en bevestigde dreiging. De meeste onderzoeken kunnen eindigen zonder escalatie. Alleen wanneer het echt relevant is, komt het bij een mens terecht met context en evidence.
Meer dekking zonder extra analystcapaciteit
Een AI SOC zonder alertqueue ziet er anders uit dan een menselijk gedreven SOC. Waar een traditionele lijn vaak bestaat uit alert → queue → analyst → investigation → disposition, verschuift de focus naar machineonderzoek → evidence → human judgment. Daarmee verandert niet alleen de snelheid, maar ook de verdeling van werk.
In die aanpak profiteert een SOC meestal van meerdere voordelen tegelijk:
- Lager kostenplaatje per onderzoek: agents doen evidence gathering en analyse;
- Meer threat coverage: de SOC kan meer aanvalspaden onderzoeken;
- Snellere risicoreductie: betekenisvolle signalen komen eerder naar boven;
- Meer waardevolle tijd voor analisten: mensen concentreren zich op beslissingen, response en complexere cases;
- Meer nut uit telemetrie: security data wordt direct bruikbaar bewijs.
Het idee is simpel: je haalt onderzoek uit de queue en maakt het continu, asynchroon en evidence-driven. Daarmee wordt de capaciteit van het SOC minder bepaald door de beperkingen van menselijke tijd.
Vervang de queue door continue, asynchrone investigatie
In AI SOC-ontwerpen hoeft onderzoek niet te beginnen bij de backlog. Het kan starten bij het signaal. Dat betekent dat agents alert-achtige gebeurtenissen kunnen gebruiken om meteen telemetry te valideren, hypotheses te testen en verdachte activiteit te volgen terwijl die zich ontwikkelt.
Human engagement blijft dan mogelijk, maar is niet de motor van het proces. In plaats van “triage tot iemand het oppakt”, draait het om “triage tot het bewijs er is”. Analisten ontvangen gevallen met context, onderbouwde bevindingen en relevante network evidence, waardoor hun oordeel gerichter en sneller kan zijn.
Uiteindelijk draait het om een SOC die niet langer gevangen zit in het tempo van de alertqueue. Het systeem werkt als een continue onderzoekslaag: asynchroon waar het kan, menselijk waar het moet.
Praktische brug: van alertorganisatie naar bewijsorganisatie
Teams die van een queue-model naar een evidence-first model willen, hoeven niet te wachten op een volledig nieuw SOC-team. Het begint vaak met het herdefiniëren van wat “triage” betekent. Triage is dan niet alleen “welke alert krijgt aandacht?”, maar ook “welk bewijs moet beschikbaar zijn voordat we escaleren?”
Daarbij helpt het om bewust te zijn van hoe authentication en identiteitsvraagstukken vaak ook als signalen binnenkomen. Als een SOC bijvoorbeeld signalen ontvangt rond authenticatie die niet direct vertellen wie of wat er achter zit, ontstaat opnieuw ruis. In die context is het relevant om ook te kijken naar de valkuil waarbij teams authenticatie met identiteit verwarren. Lees bijvoorbeeld: MFA-valkuil: authenticatie geen identiteit.
Ook wanneer het onderwerp verschuift naar operationele betrouwbaarheid van detecties, blijft dezelfde logica gelden: evidence is leidend. Bijvoorbeeld door aandacht te besteden aan hoe patches en updates sneller en consistenter kunnen verlopen, zodat signalen minder vaak blijven hangen op onduidelijkheid. Een achtergrondartikel over dat soort dynamiek is Silent patches: waarom ze je verdediging misleiden.
Conclusie: sneller triage, minder backlog, betere beslissingen
Een traditionele SOC met alertqueues is logisch vanuit een menselijk werkmodel, maar veroorzaakt een structurele achterstand: veel signalen komen niet of te laat bij analisten terecht. Een AI SOC zonder alertqueue draait dat om door agents direct onderzoek te laten doen op basis van netwerktelemetrie.
De winst zit niet alleen in snelheid, maar vooral in volgorde en evidence. Agents kunnen signalen valideren, hypotheses testen, bewijs verzamelen en alleen escaleren wanneer er voldoende context en onderbouwing is. Zo wordt het SOC schaalbaar: meer onderzoek, minder backlog en een hoger rendement van menselijke tijd.
Bron: https://thehackernews.com/2026/08/imagine-soc-without-queue-from-alert.html
