从SIEM走向AI原生SOC：微软ISOC重构安全运营底座

原创

guowei
guowei

网络安全直通车

2026年10月11日 09:58
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

传统安全运营长期面临一个痛点：SIEM和XDR两套系统割裂，安全分析师需要反复切换门户，日志检索、威胁调查、事件响应分散在不同平台，信息断层拖慢处置效率。而微软近期推出的集成安全运营中心ISOC，正在打破这种分离架构，为AI智能体时代的SOC给出新的产品范式。

9月23日，微软正式开放集成安全运营中心ISOC（Integrated Security Operations Center）预览版本。核心变革，就是将Sentinel的SIEM能力与Defender XDR威胁防护能力，合并到Defender统一门户。安全团队可以在同一个界面内，一站式完成威胁检测、事件调查、应急响应，不再需要两套系统并行操作。

这不是简单的新增功能，而是微软安全产品体系的结构性重构。ISOC被定位为面向智能体安全时代的统一底层平台：在Defender门户中，整合SIEM、XDR、威胁情报、自动化编排与AI能力，让人和AI智能体共用同一套安全信号、上下文信息与工作流，消除多系统之间的数据壁垒。

过去两套系统，如今合并为统一运营层

在ISOC发布前，微软安全运营是两套独立产品：

• Sentinel作为云原生SIEM，负责日志接入、KQL查询、检测规则编写与事件溯源调查

​

• Defender XDR，覆盖终端、邮件、身份、云负载的威胁防护与事件响应

安全人员日常工作，需要来回切换两个门户，数据上下文不互通，增加研判成本。

ISOC上线后，符合条件的新客户开箱即可在Defender门户内直接使用SIEM能力，不用单独部署传统SIEM。预览阶段还附带30天Defender数据保留周期。

适用范围与迁移策略

本次ISOC公开预览，面向Microsoft 365 E5、E7且当前没有活跃Sentinel工作区的客户。

微软没有强制存量Sentinel用户迁移，优先面向新客户提供一体化入口。这条路线也和此前产品调整衔接：从2026年7月起，Sentinel仅支持Defender门户，Azure门户内的Sentinel已经退役并自动重定向，ISOC就是这条统一路线的下一步落地。

为什么现在推出ISOC？核心面向AI智能体SOC

ISOC的底层设计逻辑，紧扣AI智能体安全运营的趋势。

未来大量安全分析工作将交给AI智能体执行，SOC平台最核心需求，是人和智能体共享统一信号与审计上下文，而不是继续使用多个割裂工具。

这一变化也重塑了SIEM市场采购逻辑：Sentinel不再是独立部署的软件产品，变成Defender门户内置能力。SOC团队的调查工作流，从两套系统并行，升级为一套共享上下文的统一流程。微软也借此抢占先机，定义智能体时代SOC运营层的行业标准。

企业该如何评估与应对

不同类型企业，需要采取不同评估动作：

1. 已经在用Defender套件、正在选型SIEM的组织：建议尽快开展POC测试，验证日志接入范围、KQL能力迁移，以及和现有Sentinel工作区对接方案。

​

2. 已有活跃Sentinel工作区的存量客户：微软暂未公布强制迁移时间表，但建议把Defender门户下Sentinel的使用体验，纳入下半年技术路线评估。

​

3. 所有组织都需要留意：预览版30天数据留存、正式版定价与配额模型尚未完全落地，上线生产环境前，务必和微软确认计费口径，规避成本风险。