Elastic brengt AlertZero uit als Technical Preview binnen Elastic Security. Het gaat om een laag AI-agents die volgens het bedrijf alerts beoordeelt, dreigingen opspoort, detectieregels optimaliseert en forensisch onderzoek ondersteunt. Analisten bepalen zelf hoeveel taken ze aan de agents overlaten. De oplossing werkt met elk AI-model, ook in air-gapped omgevingen.
AlertZero bestaat uit een set AI-agents die volgens Elastic leren van de bestaande werkwijze van beveiligingsteams en zich daaraan aanpassen. Het bedrijf vergelijkt het beoogde resultaat met inbox zero: in plaats van duizenden losse alerts krijgt een analist een overzichtelijke lijst met aanbevolen acties. Elke alert wordt daarbij beoordeeld op basis van bewijsmateriaal, meldt Elastic. Analisten houden zelf de regie over welke taken geautomatiseerd worden en waar een menselijke beoordeling nodig blijft.
Elastic plaatst de introductie in de context van een groeiend aantal alerts en fout-positieve meldingen in SOC’s. Het bedrijf verwijst naar een recente aanval waarbij een autonome AI-agent in vier dagen meer dan 17.000 beveiligingsevents in een productieomgeving genereerde. Die aanval begon met misbruik van een kwetsbaarheid in een datapijplijn en ging verder met het stelen van inloggegevens en laterale beweging binnen het netwerk. De afzonderlijke signalen waren detecteerbaar, maar moesten met elkaar in verband worden gebracht om de aanval te begrijpen. AlertZero is volgens Elastic ontworpen om zulke verbanden continu te leggen en te onderzoeken.
Vier Watches met eigen taken
AlertZero organiseert het werk via zogeheten Watches: groepen AI-agents met afgebakende verantwoordelijkheden die op basis van triggers en vaste schema’s worden geactiveerd. Elke Watch richt zich op een onderdeel van security operations en legt bevindingen vast in een gezamenlijk onderzoeksdossier.
TriageWatch voorziet alerts van extra context en bepaalt of ze terecht zijn. Fout-positieve meldingen worden met een onderbouwing afgesloten, relevante alerts worden geëscaleerd. HuntWatch zoekt continu naar dreigingen op basis van de systemen en processen in de omgeving en inzichten uit dreigingsonderzoek.
DetectionWatch gebruikt de bevindingen van de andere Watches om verbeteringen voor te stellen aan detectieregels die te veel meldingen genereren. Ook doet deze Watch voorstellen voor nieuwe regels om hiaten in de detectie te dichten. Volgens Elastic worden regels nooit zonder goedkeuring aangepast. ForensicsWatch ondersteunt bij forensisch onderzoek, malwareanalyse en het onderzoeken van aanvalsroutes. Elastic stelt dat teams daarmee toegang krijgen tot kennis die niet in elk SOC aanwezig is.
Keuze in AI-model en omgeving
AlertZero maakt gebruik van de data-infrastructuur van Elastic, waaronder gestructureerde en ongestructureerde data, logs en metrics. Het werkt met elk AI-model dat een organisatie kiest, ongeacht of de oplossing draait in Elastic Cloud, een zelfbeheerde omgeving of een air-gapped omgeving. Elastic geeft aan dat analisten tijdens een onderzoek van model moeten kunnen wisselen, afhankelijk van de taak en het beschikbare bewijs.
Mike Nichols, General Manager Security bij Elastic, stelt dat de ontwikkelaars van AlertZero zelf als SOC-analist hebben gewerkt. Volgens Nichols was het doel een platform dat beveiligingsteams voldoende inzicht en controle geeft om agentic automation in te zetten op een schaal die ze zelf kunnen beheren. Hij wijst erop dat elke Watch aansluit op een kerntaak binnen het SOC en dat teams per Watch kunnen instellen hoeveel autonomie de agents krijgen.
Uitbreidbaar en beschikbaar als preview
Klanten kunnen AlertZero uitbreiden met dezelfde Agent Builder-skills en Elastic Workflows die Elastic zelf voor de ontwikkeling gebruikte. Zo voeg je workflows toe die zijn afgestemd op je eigen omgeving, zonder het platform te verlaten. AlertZero bouwt voort op bestaande functies van Elastic Security, zoals Attack Discovery, ES|QL, Agent Builder en Elastic Workflows.
De Technical Preview komt beschikbaar voor klanten van Elastic Security in Elastic Cloud en in zelfbeheerde en air-gapped omgevingen. Het bedrijf noemt nog geen datum voor algemene beschikbaarheid.
