Mate combineert SOAR met AI-agents

Het einde van het klassieke SOAR-script 

Traditionele SOAR-playbooks (Security Orchestration, Automation, and Response) zijn gebouwd op menselijk geschreven, deterministische stappen. Dit maakt ze kwetsbaar: zodra de onderliggende IT-infrastructuur verandert, lopen processen vast en is voortdurend onderhoud vereist. Aan het andere uiterste van het spectrum staan zogeheten glass box AI-agents, die weliswaar dynamisch handelen, maar vaak onvoorspelbaar zijn en niet aansluiten op de interne werkprocessen van organisaties. 

Mate vergelijkt de nieuwe Gamebook-filosofie met de strategie van een sportteam: een wedstrijd wordt niet van seconde tot seconde vooraf geschreven, maar er is een helder strijdplan met duidelijke regels, doelen en escalatiepaden. Gamebooks leggen de intentie van een onderzoek vast, waarna AI-agents per stap de ruimte krijgen om de juiste vaardigheden en bewijsvoering in te zetten. 

Intentie versus uitvoering

Binnen een Gamebook is de proceslogica opgebouwd uit een strikte scheiding tussen intentie en uitvoering:

Deterministisch op intentie: Het Gamebook bepaalt wat er onderzocht moet worden, welke informatie noodzakelijk is, welke acties zijn toegestaan en wanneer een analist om goedkeuring moet worden gevraagd. 

Dynamisch in de uitvoering: De geactiveerde AI-agents bepalen zelf welke specifieke bronnen ze raadplegen en passen hun route direct aan zodra nieuwe context daartoe aanleiding geeft. 

Geabstraheerd gereedschap: De koppeling met externe securitytools (zoals CrowdStrike, Microsoft Defender of MDM-platformen) vindt plaats via een losstaande laag. Als een tool wordt vervangen, blijft het overkoepelende Gamebook intact en verandert alleen de gegevensstroom. 

Eenvoudige migratie en flexibele uitbreiding 

Organisaties kunnen hun bestaande SOAR-playbooks laten omzetten naar Gamebooks, waarbij hardgecodeerde API-koppelingen automatisch worden vervangen. Daarnaast kunnen analisten in gewone taal nieuwe onderzoeksprocessen beschrijven. Mate test deze aanpassingen vooraf tegen historische incidenten en draait ze in schaduwmodus voordat ze definitief live gaan. 
Door de intentiegedreven opzet vallen de onderhoudslasten bij IT-wijzigingen of overnames weg: het wisselen van bijvoorbeeld een EDR-leverancier vereist geen ingrijpende herbouw van de onderzoekspaden meer, maar enkel een aanpassing op connectorniveau.