يضيف الـ FortiSoC module إلى FortiAnalyzer قدرات Security Operations Center كاملة فوق طبقة الـ logging الموجودة. بدل أن تكتفي بتخزين الـ logs والـ events، تستطيع الآن إنشاء وتتبع Incidents، وتنفيذ threat hunting عبر السجلات، والتعامل مع Outbreak alerts الجاهزة من FortiGuard. النقطة المحورية هي أن FAZ يتحوّل من أداة تحليل تاريخي إلى منصّة استجابة لحظية.

• 1إدارة الـ Incidents تتيح إنشاء حادثة وإرفاق الـ events والـ logs ذات الصلة بها، ثمّ إسناد analyst وتعيين severity وتتبّع الـ status من Open إلى Closed.
• 2الـ Outbreak alerts عبارة عن تواقيع جاهزة من FortiGuard لحملات هجوم معروفة، وعند تطابقها مع الـ logs لديك يولّد FAZ event أو incident تلقائياً مع سياق التهديد.
• 3الـ threat hunting يُنفّذ عبر Log View و FortiView بصياغة استعلامات فلترة على الحقول مثل srcip و dstip و action للبحث الاستباقي عن مؤشرات الاختراق IOCs.
• 4الـ Playbook يتكوّن من trigger واحد يطلق التنفيذ، يليه سلسلة tasks/actions تُنفَّذ بالترتيب، وكل action يستدعي Connector محدّداً.
• 5الـ trigger قد يكون On Event أو On Incident أو On Schedule أو On Demand، ما يسمح بالأتمتة التفاعلية مع التهديدات أو بالمسح الدوري المجدول.

• الـ Connectors هي الجسر بين FAZ والأنظمة الخارجية: FortiOS connector لتنفيذ إجراءات على FortiGate مثل عزل host عبر quarantine، و notification connectors مثل Email و webhook لإبلاغ الفريق، إضافة إلى local connector لإجراءات داخل FAZ نفسه.
• دورة حياة الـ incident تتكامل مع الـ playbooks: يمكن لـ playbook بـ trigger من نوع On Incident أن يُغني الحادثة تلقائياً (enrichment) بجلب معلومات إضافية، أو أن يبدأ احتواءً فورياً بمجرّد فتح الحادثة.
• الـ Playbook Monitor يعرض كل عملية تشغيل (run) مع حالتها ووقتها وأي خطأ في أي task، وهو نقطة التشخيص الأولى عندما لا ينفّذ الـ playbook كما هو متوقّع — تماماً مثل أهمية رؤية حالة العملية في أي منصّة تشغيلية.