Der Ansatz Vectra AIfür KI im SOC: KI, entwickelt von Sicherheitsexperten für Sicherheitsexperten

Sicherheitsteams brauchen KI nicht, weil sie neu oder aufregend ist oder weil sie eine Art „SOC-Paradies“ verspricht. Sie brauchen sie, weil ihre Arbeitsabläufe überlastet sind. Analysten verbringen bereits zu viel Zeit mit der Erkennung, Feinabstimmung und Wartung. Mein Kollege Aakash behandelt dieses Problem der Erkennungsverzögerung in seinem Blog (https://www.vectra.ai/blog/how-vectra-ai-secures-the-ai-enterprise). Hier möchte ich mich auf das konzentrieren, was danach kommt: die Verzögerung bei der Untersuchung.

Bei der Untersuchung wechseln Analysten zwischen verschiedenen Tools hin und her, kopieren und fügen Daten ein, rekonstruieren Zeitachsen, überprüfen damit verbundene Aktivitäten, identifizieren betroffene Konten und Systeme und versuchen herauszufinden, ob eine einzelne Warnmeldung Teil eines größeren Angriffspfads ist. Diese Arbeit verlängert die durchschnittliche Untersuchungsdauer (MTTI), und die Verzögerung summiert sich schnell. Das manuelle Zusammenfügen kann 60 bis 90 Minuten pro Vorfall in Anspruch nehmen. Die manuelle Priorisierung kann Minuten bis Stunden dauern. Die toolübergreifende Suche kann sich über Stunden bis hin zu Tagen erstrecken. (Quelle: https://www.vectra.ai/resources/why-defenders-dont-see-attacks-earlier)

Diese Arbeit ist wichtig, denn auf dieser Grundlage treffen Analysten fundierte Entscheidungen. Wenn sie jedoch manuell erfolgt, verlangsamt sie den gesamten Arbeitsablauf von der Erkennung über die Untersuchung bis hin zur Reaktion und zwingt die Analysten dazu, sich zunächst einen vollständigen Überblick zu verschaffen, bevor sie eine Einschätzung vornehmen können. Genau hier sehe ich den entscheidenden Vorteil des Ansatzes Vectra AIim SOC: zu verstehen, wie Analysten arbeiten, und dann KI dort einzusetzen, wo sie Reibungsverluste verringert, den Kontext verbessert und den Teams hilft, schneller von der Überprüfung von Warnmeldungen zum Handeln überzugehen. 

Analysten dabei unterstützen, von der Warnmeldung zum Kontext zu gelangen

Eine der ersten Herausforderungen für Analysten besteht darin, zu wissen, wo sie ansetzen sollen, nachdem eine Warnmeldung priorisiert wurde. Das Signal mag wichtig erscheinen, doch es gibt noch viel zu klären. Was hat es ausgelöst? Was hängt noch damit zusammen? Welche Systeme, Geräte oder Konten sind betroffen? Handelt es sich um eine isolierte Aktivität oder ist sie Teil eines umfassenderen Angriffspfads? 

Auch hier verlangsamt Unsicherheit die Reaktion. Vectra AI ergab, dass 69 % der Sicherheitsverantwortlichen befürchten, eine echte Bedrohung zu übersehen. Diese Befürchtung ist verständlich, wenn das tatsächliche Verhalten von Angreifern im Alarmrauschen untergeht und Analysten anhand unvollständiger Informationen entscheiden müssen, was wirklich wichtig ist.

Die KI-gestützte Suchfunktion Vectra AIwurde entwickelt, um diese Reibungsverluste zu verringern. Anstatt manuell zwischen Tools hin- und herzuwechseln oder Abfragen zu schreiben, können Analysten Fragen stellen oder Befehle in natürlicher Sprache geben, um nach verwandten Aktivitäten zu suchen oder mehr Kontext rund um den Alarm zu sammeln. Der KI-Agent übersetzt diese Eingaben in Abfragen, ruft die relevanten Daten ab und präsentiert sie zusammen mit kontextbezogenen Erklärungen zu den Vorgängen, einschließlich der damit verbundenen Angriffstechniken und -muster, die auf Sicherheitsforschung und Brancheninformationen basieren. 

Dies unterstützt sowohl Ermittlungs- als auch threat hunting . Analysten können über die ursprüngliche Warnmeldung hinausgehen, damit verbundene Verhaltensmuster untersuchen und überprüfen, ob es sich um eine isolierte Aktivität handelt oder um Teil eines größeren Zusammenhangs. Diese Workflows helfen dabei, die Geschehnisse zusammenzufassen, damit verbundene Aktivitäten hervorzuheben und die nächsten Schritte zu leiten, ohne dass die Analysten den Kontext von Grund auf neu rekonstruieren müssen.

In diesem Video erklärt mein Kollege, wie man diese Funktion nutzt. 

Das Ziel besteht nicht darin, das Urteilsvermögen der Analysten zu ersetzen, sondern ihnen dabei zu helfen, schneller den Punkt zu erreichen, an dem ihr Urteilsvermögen entscheidend zum Tragen kommt.

In der Praxis verlagert sich dadurch der Arbeitsablauf von der Frage „Was sehe ich gerade?“ hin zu „Was sollte ich als Nächstes überprüfen?“ Und in einem SOC kann diese Zeitersparnis einen echten Unterschied ausmachen.

Aus einer Aktivität eine Angriffsgeschichte machen

Einzelne Erkennungen geben selten ein vollständiges Bild wieder. Analysten müssen den Verlauf nachvollziehen können. Wie hat die Aktivität begonnen? Was hat sich verändert? Welche Identitäten, Systeme oder Dienste waren beteiligt? In welchem Zusammenhang stehen die Verhaltensmuster? Was könnte der Angreifer als Nächstes tun? 

Die KI-basierte Analyse von Sicherheitsvorfällen Vectra AIhilft dabei, priorisierte Aktivitäten in ein klareres Bild des Angriffsablaufs umzuwandeln. Sie fasst Vorfälle zusammen und analysiert sie, stellt Zusammenhänge zwischen verwandten Verhaltensweisen her, ordnet Aktivitäten den Angreifertechniken im MITRE ATT&CK zu und erläutert, warum die jeweilige Aktivität von Bedeutung ist. So erhalten Teams einen direkteren Weg von der Erkennung bis zur Entscheidung. 

Hier kann KI den manuellen Ermittlungsaufwand erheblich reduzieren. Neue Analysten müssen nicht bei Null anfangen. Erfahrene Analysten müssen nicht so viel Zeit darauf verwenden, den Kontext neu zu rekonstruieren. Sicherheitsverantwortliche gewinnen mehr Vertrauen darin, dass sich das Team auf das tatsächliche Verhalten von Angreifern konzentriert und nicht auf vereinzelte, möglicherweise harmlose Warnmeldungen. 

Dies ist von Bedeutung, da die SOCs bei der Untersuchung oft am meisten Zeit verlieren. Wenn das manuelle Zusammenfügen pro Vorfall 60 bis 90 Minuten dauert, trägt jede korrelierte Vorfallzusammenfassung, jedes verknüpfte Verhalten und jede kontextbezogene Erklärung dazu bei, die Zeit zwischen Erkennung und Entscheidung zu verkürzen.

KI ganz nach Ihrem Geschmack

Nicht jedes Unternehmen wird KI auf dieselbe Weise einsetzen. Tatsächlich unterscheiden sich die Art und Weise, wie meine Kollegen am nächsten (virtuellen) Platz und ich ChatGPT nutzen, völlig voneinander. Manche Teams wünschen sich eine integrierte, native KI-Unterstützung innerhalb ihrer bestehenden Arbeitsabläufe. Andere möchten ihre eigenen Automatisierungen anpassen und entwickeln, ihre eigenen Tools anbinden und nach ihren eigenen Vorstellungen mit agentenbasierten SOC-Arbeitsabläufen experimentieren. Das Ziel ist nicht ein einziger Weg zur KI-Einführung, sondern die Möglichkeit, sie so einzusetzen, dass sie zur bestehenden Arbeitsweise Ihres SOC passt. 

Hier kommen das Vectra AI -Starterpaket und der Vectra AI -Server ins Spiel.

Das als Open Source verfügbare SOC-Starterpaket bietet Teams eine praktische Grundlage für die Entwicklung KI-gestützter Arbeitsabläufe unter Verwendung von Vectra AI und Telemetriedaten. Damit können Teams Anwendungsfälle wie Triage, Datenanreicherung und Beschleunigung von Untersuchungen schnell einrichten, ohne bei Null anfangen zu müssen.

Der Vectra AI erweitert diese Flexibilität noch weiter. Er bietet eine standardisierte Möglichkeit, Vectra AI mit umfassenderen Ökosystemen zu verknüpfen, sodass Teams eine Integration mit ihren bevorzugten Tools vornehmen, Workflows koordinieren und maßgeschneiderte, KI-gesteuerte Lösungen über ihren gesamten Sicherheitsstack hinweg entwickeln können. Anstatt an eine einzige Schnittstelle oder einen einzigen Workflow gebunden zu sein, können Teams Vectra AI in Umgebungen einbinden, in denen sie bereits arbeiten. 

Für erfahrene SOC-Teams und Sicherheitsexperten ist dieser Ansatz entscheidend. Sie wollen keine Einheitslösung für KI oder vage Versprechungen hinsichtlich Autonomie. Sie wollen die Möglichkeit haben, den Einsatz von KI selbst zu gestalten, Ergebnisse zu überprüfen und ihre Arbeitsabläufe im Laufe der Zeit weiterzuentwickeln. „AI your“ bedeutet, Teams die Kontrolle zu geben, KI so zu entwickeln, zu erweitern und zu integrieren, dass ihre Arbeitsweise tatsächlich verbessert wird.

Das Ziel ist eine Verbesserung der Betriebsabläufe, nicht vollständige Autonomie

Derzeit wird viel Druck ausgeübt, KI im Bereich SOC als Wettlauf um vollständige Autonomie oder als ein perfektes „gelobtes Land“ des SOC darzustellen. Ich persönlich glaube, dass man damit am Wesentlichen vorbeigeht.

Derzeit gibt es noch kein SOC, das vollständig autonom arbeitet. So sehr wir uns alle einen „Einmal einstellen und vergessen“-Knopf für die Sicherheit wünschen würden (am liebsten direkt neben der Schlummerfunktion unseres Weckers), erfordern Sicherheitsabläufe nach wie vor menschliches Urteilsvermögen, Kontextverständnis und Verantwortlichkeit. Die eigentliche Chance für KI liegt nicht in der vollständigen Automatisierung, sondern in der Erweiterung. Es geht darum, die bereits vorhandenen Kompetenzen der Teams zu optimieren, den manuellen Aufwand für Analysten zu reduzieren und ihnen zu helfen, auf einem höheren Niveau zu arbeiten. 

Deshalb halte ich den Ansatz Vectra AIfür realitätsnah. 

• Die KI-gestützte Suche hilft Analysten, schneller voranzukommen, indem sie natürliche Sprache in verwertbare Abfragen und Erkenntnisse umsetzt.
• Die Analyse von KI-Bedrohungsvorfällen hilft Teams dabei, den Verlauf eines Angriffs nachzuvollziehen. 
• Ein Open-Source-Starterpaket und ein MCP-Server bieten Teams die Möglichkeit, KI so zu entwickeln, zu erproben und einzusetzen, wie es zu ihrer Arbeitsweise passt. 

Zudem wurden diese Funktionen von Sicherheitsexperten für Sicherheitsexperten entwickelt. Glauben Sie mir – ich habe in den letzten Jahren buchstäblich miterlebt, wie meine Kollegen alles aufgebaut haben. Sie sind darauf ausgelegt, SOC-Teams dabei zu helfen, manuelle Verzögerungen zu reduzieren, die Zuversicht zu stärken und bereits während eines laufenden Angriffs zu reagieren. 

Das ist die operative Dringlichkeit, die hinter dem Einsatz von KI im SOC steht. Wenn 43 % der Sicherheitsverantwortlichen sich mehr Zeit für die Reaktion wünschen, kann die Lösung nicht in einem weiteren Tool oder einer weiteren Funktion bestehen, die den Arbeitsaufwand noch weiter erhöht. KI muss dazu beitragen, die Verzögerung zwischen Signal, Analyse und Maßnahme zu beseitigen – und sie muss mit den bereits im SOC vorhandenen Systemen zusammenarbeiten.

Letztendlich ist KI im SOC nur dann von Bedeutung, wenn sie die tägliche Arbeit der Analysten verbessert. Das bedeutet, über den Hype hinauszugehen und sich auf echte operative Probleme zu konzentrieren. Aus meiner Sicht sollte KI im SOC genau dort ansetzen – und genau dort kann sie die größte Wirkung erzielen. 

Möchten Sie mehr erfahren? Hören Sie sich hier einen Podcast mit mir und meinem Kollegen an.