Elastic veröffentlicht AlertZero als Technical Preview innerhalb von Elastic Security. Dabei handelt es sich um eine Schicht aus KI-Agents, die nach Angaben des Unternehmens Alerts bewertet, Bedrohungen aufspürt, Erkennungsregeln optimiert und forensische Untersuchungen unterstützt. Analysten legen selbst fest, wie viele Aufgaben sie den Agents überlassen. Die Lösung funktioniert mit jedem KI-Modell, auch in Air-Gapped-Umgebungen.
AlertZero besteht aus einer Reihe von KI-Agents, die laut Elastic aus der bestehenden Arbeitsweise von Sicherheitsteams lernen und sich daran anpassen. Das Unternehmen vergleicht das angestrebte Ergebnis mit „Inbox Zero“: Statt Tausender einzelner Alerts erhält ein Analyst eine übersichtliche Liste mit empfohlenen Maßnahmen. Jeder Alert wird dabei anhand von Beweismaterial bewertet, so Elastic. Die Analysten behalten selbst die Kontrolle darüber, welche Aufgaben automatisiert werden und wo eine menschliche Beurteilung erforderlich bleibt.
Elastic stellt die Einführung in den Kontext einer wachsenden Zahl von Alerts und False Positives in SOCs. Das Unternehmen verweist auf einen kürzlich erfolgten Angriff, bei dem ein autonomer KI-Agent innerhalb von vier Tagen mehr als 17.000 Sicherheitsereignisse in einer Produktionsumgebung erzeugte. Der Angriff begann mit der Ausnutzung einer Schwachstelle in einer Datenpipeline und setzte sich mit dem Diebstahl von Zugangsdaten und Lateral Movement innerhalb des Netzwerks fort. Die einzelnen Signale waren erkennbar, mussten jedoch miteinander in Verbindung gebracht werden, um den Angriff zu verstehen. AlertZero ist laut Elastic darauf ausgelegt, solche Zusammenhänge kontinuierlich herzustellen und zu untersuchen.
Vier Watches mit eigenen Aufgaben
AlertZero organisiert die Arbeit über sogenannte Watches: Gruppen von KI-Agents mit klar abgegrenzten Zuständigkeiten, die durch Trigger und feste Zeitpläne aktiviert werden. Jede Watch konzentriert sich auf einen Teilbereich der Security Operations und hält ihre Erkenntnisse in einer gemeinsamen Ermittlungsakte fest.
TriageWatch reichert Alerts mit zusätzlichem Kontext an und prüft, ob sie berechtigt sind. False Positives werden mit einer Begründung geschlossen, relevante Alerts eskaliert. HuntWatch sucht kontinuierlich nach Bedrohungen – auf Basis der Systeme und Prozesse in der Umgebung sowie von Erkenntnissen aus der Bedrohungsforschung.
DetectionWatch nutzt die Ergebnisse der anderen Watches, um Verbesserungen für Erkennungsregeln vorzuschlagen, die zu viele Meldungen erzeugen. Außerdem schlägt diese Watch neue Regeln vor, um Lücken in der Erkennung zu schließen. Laut Elastic werden Regeln niemals ohne Genehmigung geändert. ForensicsWatch unterstützt bei forensischen Untersuchungen, Malware-Analysen und der Untersuchung von Angriffspfaden. Elastic zufolge erhalten Teams damit Zugang zu Fachwissen, das nicht in jedem SOC vorhanden ist.
Freie Wahl bei KI-Modell und Umgebung
AlertZero nutzt die Dateninfrastruktur von Elastic, darunter strukturierte und unstrukturierte Daten, Logs und Metriken. Die Lösung funktioniert mit jedem KI-Modell, das eine Organisation wählt – unabhängig davon, ob sie in Elastic Cloud, in einer selbstverwalteten Umgebung oder in einer Air-Gapped-Umgebung läuft. Elastic betont, dass Analysten während einer Untersuchung das Modell wechseln können sollen, je nach Aufgabe und verfügbarer Beweislage.
Mike Nichols, General Manager Security bei Elastic, erklärt, dass die Entwickler von AlertZero selbst als SOC-Analysten gearbeitet haben. Ziel sei laut Nichols eine Plattform gewesen, die Sicherheitsteams genügend Einblick und Kontrolle bietet, um Agentic Automation in einem Umfang einzusetzen, den sie selbst steuern können. Er weist darauf hin, dass jede Watch einer Kernaufgabe im SOC entspricht und Teams pro Watch festlegen können, wie viel Autonomie die Agents erhalten.
Erweiterbar und als Preview verfügbar
Kunden können AlertZero mit denselben Agent-Builder-Skills und Elastic Workflows erweitern, die Elastic selbst für die Entwicklung genutzt hat. So fügen Sie Workflows hinzu, die auf Ihre eigene Umgebung abgestimmt sind, ohne die Plattform zu verlassen. AlertZero baut auf bestehenden Funktionen von Elastic Security auf, etwa Attack Discovery, ES|QL, Agent Builder und Elastic Workflows.
Die Technical Preview wird für Kunden von Elastic Security in Elastic Cloud sowie in selbstverwalteten und Air-Gapped-Umgebungen verfügbar. Einen Termin für die allgemeine Verfügbarkeit nennt das Unternehmen noch nicht.
Dieser Artikel ist ursprünglich auf Niederländisch bei MSP Business erschienen. Zum Originalartikel →
