微軟把 AI Agent 推進資安營運：ISOC 整合 SIEM 與 XDR

微軟於 2026 年 9 月 23 日宣布在 Microsoft Defender 推出「整合式資安營運中心」（ISOC）公開預覽版，將 SIEM 功能與 Defender 現有的 XDR、威脅情報及自動化工具整合至單一入口網站。

微軟威脅防護企業副總裁 Rob Lefferts 指出：「當防護與營運建構為獨立系統時，資安無法以 AI 的速度運作。」

ISOC 架構奠基於微軟 2026 年 7 月發表的 Project Perception 與首款自研資安模型 MAI-Cyber-1-Flash；AI Agent 執行高風險行動時仍需人類核准。

Microsoft 365 E5 與 E7 客戶無須額外授權費用，即可在 Microsoft Defender 內運行 SIEM；微軟自身資安產品的日誌也無需支付資料擷取費用。ISOC 包含的微軟原生日誌資料在預覽期間保存 30 天，並於 2026 年 11 月 15 日由 30 天增加至 90 天。

企業若要串接外部來源，需建立關聯 Azure 訂閱的 ISOC 工作區；該工作區提供超過 500 個資料連接器。第三方資安工具及其他外部來源的資料按隨用隨付制計費，每 GB 2.40 美元的費率自 2026 年 10 月 1 日起適用。

目前 ISOC 公開預覽版排除已運行 Microsoft Sentinel 活躍工作區的企業；符合授權資格的現有客戶可自 2026 年 11 月 15 日起選擇移轉至 ISOC。

IDC 資深研究經理 Yih Khai Wong 表示，將 Sentinel 整合至 E5、E7 可讓原生資料免費擷取，但集中於單一廠商會加深企業對其藍圖與定價的依賴，且 Agent 本身也會增加攻擊面。

Greyhound Research 首席分析師 Sanchit Vir Gogia 建議，企業在以 ISOC 取代成熟 SIEM 前，應重現最高價值的跨廠商偵測；他並警告，當 Agent 取得變更身分、端點或雲端政策的權限時，將產生潛在破壞範圍。