Cisco Instant Attack Verification dan Agentic AI

Security Operations Center (SOC) menghadapi tantangan yang semakin kompleks. Jumlah peringatan keamanan terus bertambah, sementara setiap peringatan tetap membutuhkan pemeriksaan untuk menentukan apakah benar merupakan ancaman atau hanya aktivitas yang terlihat mencurigakan.

Permasalahannya bukan selalu kekurangan data. Justru sebaliknya, tim keamanan seringkali memiliki terlalu banyak data yang harus diperiksa. Alert dapat berasal dari berbagai sumber, sementara informasi pendukungnya tersebar di endpoint, jaringan, cloud, email, maupun sistem identitas.

Dalam kondisi seperti ini, kecepatan saja tidak cukup. Analis dibutuhkan untuk memahami konteks apa yang sebenarnya terjadi sebelum mengambil tindakan.

Cisco kemudian memperkenalkan Instant Attack Verification, sebuah kemampuan pada Cisco XDR yang memanfaatkan Agentic AI untuk membantu proses investigasi dan memberikan penilaian terhadap setiap alert. Pendekatan ini dirancang untuk membantu SOC bergerak dari sekadar menerima alert menuju pemahaman yang lebih jelas mengenai apakah sebuah aktivitas benar-benar merupakan serangan.

Mengenal Cisco Instant Attack Verification

Secara sederhana, Cisco Instant Attack Verification dirancang untuk menjawab satu pertanyaan penting dalam proses investigasi keamanan: apakah alert ini benar-benar menunjukkan adanya serangan?

Dalam proses SOC tradisional, analis harus mengumpulkan berbagai informasi sebelum dapat menentukan apakah sebuah alert merupakan true positive atau false positive. Mereka mungkin perlu memeriksa log, mencari informasi threat intelligence, melihat aktivitas perangkat, kemudian menghubungkan berbagai kejadian yang terjadi pada waktu yang sama.

Cisco menggunakan Agentic AI untuk membantu mengotomatisasi sebagian proses tersebut.

Instant Attack Verification dapat menghubungkan telemetry dari berbagai sumber, termasuk endpoint, network, cloud, email, dan identity. Informasi tersebut kemudian diperkaya dengan Cisco Talos Threat Intelligence dan Cisco XDR Forensics untuk memberikan konteks yang lebih lengkap terhadap sebuah incident.

Cisco menjelaskan bahwa kemampuan ini menggabungkan machine learning, machine reasoning, dan large language models (LLM) melalui beberapa AI agent yang bekerja pada tahapan berbeda dalam proses penentuan incident. Hasil akhirnya berupa keputusan akhir yang dilengkapi dengan tingkat keyakinan serta informasi mengenai dampak yang ditemukan.

Dengan demikian,hasil analisis yang didapatkan tidak hanya berupa notifikasi bahwa sebuah aktivitas terdeteksi. Mereka mendapatkan konteks yang membantu menjawab apakah aktivitas tersebut benar-benar perlu ditindaklanjuti.

Mengapa Verifikasi Alert Menjadi Penting?

Salah satu persoalan yang sering dihadapi SOC adalah false positive. Tidak semua alert yang muncul menunjukkan serangan nyata.

Jika setiap alert harus diperiksa secara manual dengan tingkat kedalaman yang sama, waktu analis dapat banyak tersita untuk aktivitas yang pada akhirnya tidak membutuhkan tindakan.

Di sisi lain, melewatkan alert yang sebenarnya merupakan serangan juga memiliki resiko besar.

Cisco melihat persoalan tersebut bukan hanya sebagai masalah volume alert, tetapi juga sebagai masalah ketidakpastian. Analis membutuhkan informasi yang cukup untuk dapat menentukan tindakan dengan percaya diri.

Di sinilah Instant Attack Verification mengambil peran.

Alih-alih membuat analisa memulai investigasi dari nol, sistem dapat membantu mengumpulkan bukti, menghubungkan aktivitas, dan memberikan verdict awal. Dengan konteks tersebut, analis dapat lebih cepat menentukan apakah sebuah incident perlu ditutup, diperiksa lebih lanjut, atau diteruskan kepada tingkat investigasi berikutnya.

Agentic AI untuk Investigasi SOC

Perbedaan utama antara AI biasa dan Agentic AI terletak pada bagaimana teknologi tersebut digunakan dalam sebuah workflow.

AI generatif dapat membantu menghasilkan ringkasan atau menjawab pertanyaan berdasarkan informasi yang diberikan. Sementara itu, pendekatan agentic memungkinkan AI menjalankan rangkaian tugas untuk mencapai tujuan tertentu dalam suatu proses.

Dalam investigasi SOC, tugas tersebut dapat mencakup pengumpulan threat intelligence, pencarian log, analisis detection, pemeriksaan aktivitas aset, hingga membantu mengklasifikasikan incident.

Cisco menjelaskan bahwa Instant Attack Verification dikembangkan untuk mengotomatisasi berbagai aktivitas yang biasanya dilakukan oleh analis Tier 1 dan Tier 2 ketika menganalisis incident.

Artinya, Agentic AI tidak hanya digunakan untuk membuat ringkasan alert. Teknologi tersebut digunakan untuk membantu menjalankan proses investigasi secara lebih terstruktur.

Bagaimana Instant Attack Verification Bekerja?

Secara umum, prosesnya dapat digambarkan dalam beberapa tahap.

1. Alert Masuk
Proses dimulai ketika sebuah detection atau alert muncul dari sistem keamanan.

Alert tersebut dapat berasal dari berbagai sumber telemetry yang tersedia di lingkungan organisasi.

2. Mengumpulkan Konteks
Agentic AI kemudian membantu mengumpulkan informasi yang relevan dari berbagai sumber.

Informasi tersebut dapat mencakup aktivitas endpoint, network traffic, cloud activity, identity, email, hingga threat intelligence.

Tujuannya adalah mendapatkan gambaran yang lebih lengkap dibandingkan hanya melihat satu alert secara terpisah.

3. Menganalisis Hubungan Antar Aktivitas
Sebuah alert mungkin terlihat sederhana ketika dilihat sendiri. Namun, aktivitas lain yang terjadi sebelum atau sesudahnya dapat memberikan konteks berbeda.

Agentic AI membantu menghubungkan berbagai sinyal tersebut sehingga analis dapat melihat hubungan antara aktivitas yang terjadi.

4. Menentukan Verdict
Setelah berbagai informasi dikumpulkan dan dianalisis, sistem menghasilkan penilaian terhadap incident.

Cisco menjelaskan bahwa Instant Attack Verification memberikan verdict yang disertai confidence indicator serta informasi mengenai dampak yang ditemukan.

5. Mendukung Respons
Ketika sebuah ancaman telah diverifikasi, hasil investigasi dapat digunakan untuk mendukung tindakan berikutnya.

Cisco menyebut bahwa playbook yang telah ditentukan pada Cisco XDR atau Splunk SOAR dapat digunakan untuk menjalankan respons terhadap serangan tertentu, dengan atau tanpa intervensi manusia sesuai proses organisasi.

Dengan pendekatan tersebut, otomasi tidak harus dimulai dari sebuah alert mentah. Sistem terlebih dahulu berusaha meningkatkan keyakinan terhadap hasil investigasi.

Peran Agentic AI bagi SOC Tier 1 dan Tier 2

Dalam struktur SOC, analis Tier 1 biasanya menjadi salah satu pihak pertama yang menangani alert masuk. Mereka perlu melakukan triage dan menentukan apakah sebuah incident membutuhkan pemeriksaan lebih lanjut.

Tier 2 kemudian dapat melakukan investigasi yang lebih mendalam terhadap incident yang telah diprioritaskan.

Banyak pekerjaan dalam proses tersebut bersifat berulang, seperti mengumpulkan log, melakukan enrichment, mencari indikator terkait, dan menghubungkan aktivitas dari beberapa sumber.

Cisco menjelaskan bahwa Instant Attack Verification ditujukan untuk membantu mengotomatisasi tugas-tugas tersebut sehingga analis dapat menghabiskan lebih sedikit waktu untuk mengumpulkan informasi secara manual.

Dalam implementasi Cisco Live Americas 2026, Cisco juga menggunakan agentic workflows sebagai lapisan review yang membantu merangkum, memvalidasi, menginvestigasi, dan mengaudit incident, sementara analis manusia tetap memegang tanggung jawab terhadap closure, escalation, dan tindakan yang berdampak pada jaringan.

Pendekatan tersebut menunjukkan bahwa Agentic AI tidak harus menggantikan analis. Teknologi dapat berfungsi sebagai force multiplier, membantu analis menangani lebih banyak pekerjaan investigasi dengan waktu yang tersedia.

Contoh Penerapan Cisco Instant Attack Verification

Salah satu contoh penerapan yang menarik terjadi pada Cisco Live EMEA 2026.

Selama periode 7–13 Februari 2026, Instant Attack Verification menghasilkan 179 laporan. Dari jumlah tersebut, 174 dikategorikan sebagai decisive false positive, dua sebagai likely false positive, dua sebagai likely true positive, dan satu sebagai decisive true positive. Secara keseluruhan, sekitar 97% incident diklasifikasikan sebagai false positive.

Menurut Cisco, tingginya jumlah false positive tersebut tidak terlalu mengejutkan karena jaringan yang dipantau merupakan lingkungan yang sebagian besar tidak dikelola secara langsung, termasuk pengguna Wi-Fi, infrastruktur venue, dan infrastruktur exhibitor. Sumber detection yang dominan berasal dari Network Detection and Response (NDR), yang menghasilkan banyak sinyal dengan fidelity relatif rendah.

Yang menarik bukan hanya jumlah incident yang berhasil diklasifikasikan, tetapi bagaimana proses tersebut membantu mengurangi pekerjaan manual.

Tanpa automation, analis harus memeriksa satu per satu dari 179 incident tersebut, mengumpulkan log, melakukan enrichment, memeriksa threat intelligence, dan membangun konteks sebelum menentukan tindak lanjut.

Cisco melaporkan bahwa Instant Attack Verification melakukan triage terhadap seluruh incident tersebut dan menghasilkan laporan terstruktur yang mencakup pemetaan MITRE ATT&CK, confidence score, serta rekomendasi yang diprioritaskan.

Dari Alert Menuju Keputusan yang Lebih Terpercaya

Perubahan yang dibawa Agentic AI dalam SOC bukan hanya mengenai seberapa cepat sebuah alert diproses.

Yang lebih penting adalah bagaimana teknologi membantu mengurangi jarak antara detection, investigation, dan response.

Cisco melihat bahwa tantangan SOC modern bukan sekadar kurangnya data. Tim keamanan membutuhkan kemampuan untuk mengubah berbagai sinyal menjadi informasi yang dapat dipahami dan digunakan untuk mengambil keputusan.

Instant Attack Verification mencoba menjembatani kebutuhan tersebut dengan memberikan konteks dan verdict sebelum automation melakukan tindakan.

Pendekatan ini juga menjawab salah satu kekhawatiran terbesar terhadap automated response: kepercayaan.

Jika sistem langsung melakukan tindakan berdasarkan setiap alert, risiko kesalahan dapat menjadi masalah. Sebaliknya, jika sistem mampu memvalidasi ancaman dan memberikan bukti yang dapat dipahami analis, automation dapat digunakan dengan tingkat kepercayaan yang lebih tinggi.

Masa Depan SOC dengan Agentic AI

Perkembangan Agentic AI menunjukkan bahwa masa depan SOC kemungkinan tidak hanya berfokus pada pengumpulan dan pemantauan alert.

AI dapat mengambil peran yang lebih aktif dalam proses investigasi, mulai dari mencari informasi, menghubungkan telemetry, membuat hipotesis, memvalidasi bukti, hingga membantu menentukan langkah berikutnya.

Namun, perkembangan tersebut tidak berarti manusia kehilangan perannya.

Pada implementasi Cisco Live Americas 2026, Cisco secara eksplisit menempatkan Agentic AI sebagai bagian dari workflow yang tetap memiliki human in the loop. Analis tetap bertanggung jawab terhadap keputusan penting, sementara AI membantu menyediakan bukti, konteks, dan rekomendasi.

Model seperti ini dapat menjadi arah yang menarik untuk SOC modern: AI menangani pekerjaan investigasi yang berulang dan membutuhkan banyak pengumpulan data, sementara manusia berfokus pada keputusan yang membutuhkan penilaian, pengalaman, dan tanggung jawab.

Kesimpulan

Cisco Instant Attack Verification menunjukkan bagaimana Agentic AI dapat digunakan untuk mengubah proses investigasi SOC dari pekerjaan yang sangat bergantung pada pemeriksaan manual menjadi workflow yang lebih terotomatisasi dan berbasis konteks.

Dengan menggabungkan telemetry dari berbagai sumber, threat intelligence, AI agents, dan kemampuan investigasi Cisco XDR, teknologi ini membantu menentukan apakah sebuah alert benar-benar menunjukkan serangan serta memberikan konteks yang dapat digunakan untuk mengambil tindakan.

Penerapan di Cisco Live EMEA 2026 juga memberikan gambaran mengenai potensinya. Dari 179 incident yang dianalisis, sistem mengklasifikasikan sebagian besar sebagai false positive dan mengangkat tiga incident yang membutuhkan perhatian lebih lanjut.

Ke depan, Agentic AI berpotensi menjadi bagian penting dalam operasi keamanan, terutama ketika jumlah alert dan kompleksitas lingkungan IT terus meningkat. Namun, nilai sebenarnya bukan sekadar membuat SOC lebih otomatis. Yang lebih penting adalah membantu analis memperoleh konteks, bukti, dan keyakinan untuk mengambil keputusan dengan lebih cepat dan tepat.

Sumber : 

Instant Attack Verification, Using Agentic AI to Shed Light on SOC Operations, Cisco XDR Just Changed the Game Again, Elevating Expertise in the SOC