SentinelOne, specialista a livello globale nella cybersecurity basata sull’intelligenza artificiale, ha presentato alla OneCon 2026, Singularity ASOC (Autonomous Security Operations Center), una suite integrata basata su Purple Security Superintelligence che combina acquisizione dei dati in real time, indagini condotte da agenti AI e risposta automatizzata, offrendo ai security team un vantaggio decisivo contro attacchi che ormai si muovono a velocità macchina.
Singularity ASOC rappresenta l’ultima evoluzione dell’innovazione basata su agenti AI per i team SecOps e una tappa fondamentale per aiutare clienti e partner a concretizzare il potenziale dell’Autonomous SOC.
Portare i vantaggi dell’AI nel SOC moderno
I team dei Security Operations hanno ormai raggiunto il limite di ciò che è possibile gestire affidandosi esclusivamente a processi svolti a velocità umana. Le attività di progettazione e ottimizzazione dei sistemi di rilevamento sono migliorate, ma rimangono a livello manuale. Il volume degli alert supera la capacità prevista dai piani di staffing. Le indagini si accumulano e la copertura si riduce durante le ore notturne, nei fine settimana e nei periodi di picco: proprio i momenti che gli aggressori scelgono per entrare in azione. Una superficie di attacco in continua espansione e tattiche, tecniche e procedure (TTP) sempre più sofisticate richiedono una quantità crescente di dati. Questo, tuttavia, contribuisce ad aumentare l’alert fatigue e ad aggravare ulteriormente il divario nella capacità di condurre indagini. L’AI agentica ha aiutato gli aggressori a individuare nuove vulnerabilità e a comprimere ulteriormente i tempi delle loro operazioni. Nel frattempo, la maggior parte dei team di difesa continua a lavorare con strumenti isolati tra loro, architetture SIEM e SOAR legacy rigide e passaggi manuali di consegne che impediscono all’AI di accedere ai dati interconnessi di cui ha bisogno. Per risolvere il problema servono dati connessi, indagini condotte da agenti AI e risposte automatizzate che operino come un unico ciclo continuo, sotto la supervisione di analisti umani esperti, responsabili delle decisioni finali.
Purple Security Superintelligence
Purple è progettata con un obiettivo specifico: un sistema di modelli sviluppati per superare le capacità dei team umani nelle attività mirate di rilevamento, indagine e blocco degli attacchi. Le prestazioni vengono misurate rispetto a quelle umane nelle attività più importanti: individuare la minaccia, ricostruire le evidenze e consentire di intraprendere l’azione corretta. Purple indirizza ogni attività al modello più adatto nel momento giusto del processo decisionale. I sistemi di AI comportamentale e statica presenti su ogni endpoint e workload analizzano le attività direttamente alla fonte e intervengono localmente, nel rispetto delle policy, senza dover effettuare ogni volta una comunicazione di andata e ritorno con il cloud. I modelli specializzati nella sicurezza e i modelli AI più avanzati aggiungono contesto e capacità di ragionamento approfondito a livello aziendale. SentinelOne introduce inoltre nuove categorie di modelli, inclusi modelli decisionali rapidi e modelli compatti capaci di ragionare direttamente sul dispositivo, man mano che la loro efficacia viene dimostrata in ambienti di produzione. Questo consente a Purple di offrire:
– Velocità: decisioni in millisecondi, laddove l’applicazione locale delle policy lo consente, e indagini che iniziano mentre l’incidente è ancora in corso.
– Scalabilità: ogni alert viene analizzato, anche di notte, nei fine settimana e durante i picchi di attività.
– Contesto: evidenze correlate provenienti da endpoint, identità, cloud e fonti di terze parti.
– Memoria: ogni indagine e ogni correzione apportata dagli analisti contribuiscono a miglioramenti del sistema, sottoposti a verifica.
– Coerenza e accuratezza: verdetti supportati da evidenze che gli analisti possono esaminare e contestare.
Gli analisti umani definiscono la missione, il livello di rischio accettabile e i poteri operativi concessi a Purple. L’apprendimento rende Purple progressivamente più efficace, senza mai consentire al sistema di ampliare autonomamente la propria autorità. Purple sta già svolgendo questo lavoro per i propri clienti e dal lancio di Purple Agentic Investigation ha già portato a termine oltre 400.000 indagini su alert critici, consentendo ai clienti di risparmiare circa 332.000 ore di lavoro degli analisti.
Singularity ASOC nel dettaglio
Il SOC autonomo rileva, indaga e risponde alla velocità dell’AI. Purple gestisce il triage, la correlazione degli eventi e le prime azioni di risposta, mentre gli analisti mantengono il controllo sulle decisioni rilevanti. La soluzione si basa sulla Singularity Platform, una piattaforma consolidata per il rilevamento e la risposta alle minacce. I connettori pronti all’uso coprono le funzionalità di protezione di SentinelOne per endpoint, identità, cloud e AI, oltre a decine tra i più diffusi strumenti di sicurezza, cloud e SaaS. La suite comprende:
– Agentic Investigation. Analizza gli alert dall’inizio alla fine utilizzando dati di sicurezza nativi e di terze parti, raccogliendo evidenze e arrivando a una valutazione conclusiva. In questo modo, gli analisti possono esaminare i risultati anziché doverli ricostruire manualmente.
– Hyperautomation. Automatizza le azioni di risposta e i workflow, completando il ciclo dalla valutazione alla correzione. Le attività di routine vengono così eseguite a velocità macchina.
– AI Data Pipelines. Convoglia nel SOC i dati di sicurezza provenienti dall’intero ambiente, consentendo alle attività di rilevamento e indagine di basarsi sulle informazioni rilevanti.
– AI SIEM. Applica l’AI ai dati di sicurezza per individuare le minacce e integra funzionalità di gestione degli incidenti e dei casi. Gli analisti possono così concentrarsi subito sugli eventi importanti, anziché partire dai log grezzi.
– Threat Intelligence e gestione degli IOC. Integra la threat intelligence nelle attività di rilevamento e indagine e centralizza la gestione degli indicatori di compromissione (Indicators of Compromise, IOC). Gli analisti possono così comprendere chi hanno di fronte e agire senza uscire dal workflow.
Per i team che desiderano affiancare a Purple professionisti esperti, i servizi MDR, di threat hunting e di risposta agli incidenti gestiti da esperti di Wayfinder estendono Singularity ASOC con competenze e valutazioni umane disponibili 24 ore su 24.
Integrare i dati su cui si basa il SOC moderno
I dati telemetrici nativi relativi ad AI, endpoint, cloud e identità vengono trasmessi direttamente al Singularity Data Lake. Le AI Data Pipelines completano questi flussi telemetrici, collegando e trasferendo in modo intelligente i dati provenienti da fonti di terze parti verso Singularity Data Lake e altre destinazioni. In questo modo, i team possono lavorare con i dati da cui dipendono già le loro attività operative.
Oggi, AI Data Pipelines mette a disposizione di ogni cliente Singularity ASOC oltre 50 connettori pronti all’uso verso fonti di terze parti, che coprono cloud, identità, posta elettronica, reti, SaaS, piattaforme dati e gestione delle vulnerabilità. Tra i fornitori supportati figurano AWS, Google Cloud e Microsoft, oltre a Okta, Cisco, Proofpoint, Netskope, Snowflake, Atlassian, Oracle e Tenable. L’integrazione comprende anche i dati provenienti dagli strumenti di altri vendor di sicurezza, tra cui Microsoft Defender XDR, Palo Alto Networks Prisma, Wiz, Darktrace, Sophos Central e Check Point. I team possono quindi indagare sugli incidenti e rispondere alle minacce nell’intero ecosistema di sicurezza, non soltanto attraverso le soluzioni SentinelOne. È inoltre possibile integrare altre fonti, compresi i sistemi on-premise, tramite syslog e Kafka, già disponibili, mentre il supporto per OpenTelemetry e per la raccolta tramite API generiche è previsto in futuro. AI Data Pipelines può anche filtrare e instradare i dati verso SIEM e sistemi di archiviazione di terze parti, oltre che verso Singularity. Le organizzazioni mantengono così il controllo sulla collocazione dei propri dati. SentinelOne aggiunge nuovi connettori ogni trimestre.
“I security team non possono intervenire sulle esposizioni al rischio se non riescono a vederle nel giusto contesto”, ha dichiarato Ray Komar, Vice President of Cloud and Technology Alliances di Tenable. “Portare i dati sulle esposizioni di Tenable all’interno di Singularity ASOC mette le informazioni sulle vulnerabilità a disposizione degli analisti e dei workflow automatizzati che rispondono alle minacce. Questo consente ai team di concentrarsi sui percorsi di esposizione che gli hacker hanno maggiori probabilità di sfruttare”.
Singularity Credits per le azioni agentiche
Singularity ASOC utilizza i Singularity Credits, il sistema di crediti flessibile e unificato di SentinelOne, che i clienti possono usare per accedere alle funzionalità basate sull’AI della Singularity Platform. Gli amministratori possono impostare limiti di consumo, in modo che le indagini basate sull’AI, le azioni automatizzate e le future innovazioni agentiche rimangano entro i confini definiti dall’organizzazione.
“Il SOC autonomo non è più un’opzione facoltativa. Gli aggressori utilizzano l’AI per muoversi più velocemente di quanto qualsiasi processo gestito a velocità umana possa sostenere”, ha sottolineato Chris Corde, Chief Product Officer di SentinelOne. “Singularity ASOC riunisce Purple Agentic Investigation, AI SIEM, Hyperautomation, AI Data Pipelines e la gestione dei casi in un’unica offerta basata sulla Singularity Platform. In questo modo, i security team possono gestire rilevamento, indagine e risposta a velocità macchina, con gli analisti alla guida delle operazioni e ogni azione automatizzata vincolata ai limiti da loro stabiliti”.
“Purple non è una superintelligenza generica. È qualcosa di più specifico e molto più utile: più veloce e più efficiente di qualsiasi team umano nello svolgimento di un compito preciso, ovvero rilevare, indagare e bloccare gli attacchi”, ha aggiunto Tomer Weingarten, co-founder e CEO di SentinelOne. “Nell’era dell’AI, la velocità è l’unica cosa che conta, ma la velocità senza evidenze non fa altro che amplificare gli errori. Singularity ASOC mette Purple al lavoro in tutto il SOC, garantendo evidenze a supporto di ogni valutazione e con persone che hanno il controllo su ogni decisione che è autorizzato a prendere”.
