KI-Agenten im SOC übernehmen Vorprüfung und erste Abwehrschritte

In dieser Folge von Insider Research im Gespräch spricht Thomas Joos mit Christoph Schuhwerk, CISO in Residence bei Zscaler, über KI-Agenten im Security Operations Center (SOC). Ein SOC-Team arbeitet nach seiner Erfahrung täglich eine große Zahl von Alarmen ab, darunter zahlreiche Fehlalarme. Jeden Verdacht prüft das Team von Hand in mehreren Werkzeugen. KI-Agenten sortieren diese Meldungen vor, gleichen sie mit Angriffsmustern aus anderen Unternehmen ab und liefern dem Team die Fakten zum Vorfall gleich mit.

Die zweite Frage der Folge betrifft die Befugnisse der KI. Kontosperren bei eindeutigen Mustern überlässt Schuhwerk schon heute der Maschine. Ein solches Muster sind Abfragen auf einem Honeypot, ein anderes sind Anmeldungen desselben Nutzers binnen zehn Minuten aus Deutschland und aus China. Die Trennung einer Produktionsanlage vom Internet bleibt für ihn eine Entscheidung für Menschen. Die Zeit für diese Entscheidung wird knapper. Erpressungsangriffe kommen nach seinen Angaben im Schnitt in weniger als einer Stunde zum Ziel.

Außerdem geht es um Agenten mit zu weit gefassten Rechten im eigenen Netz, um geplante Wiederherstellung nach Fehlentscheidungen und um den Datenschutz bei den Logs. Als ersten Schritt empfiehlt der CISO in Residence, alle Datenquellen an das Security Information and Event Management (SIEM) anzubinden und Lücken in der Überwachung zu schließen. Die Belegschaft im SOC bleibt aus seiner Sicht gleich groß und bearbeitet mit KI-Unterstützung mehr Fälle in kürzerer Zeit.