Jedes Security Operations Center (SOC) muss zwei Dinge richtig machen: den Überblick darüber, was in der gesamten Umgebung geschieht, und die Qualität der Entscheidungen, die Analysten treffen, sobald dieser Überblick hergestellt ist. Threat Intelligence verbindet beides.
Gute Intelligence erweitert den Überblick, indem sie einem Team vorgibt, wonach es suchen soll – einschließlich der für seine Umgebung relevanten Verhaltensweisen, Indikatoren und Muster –, sodass Bedrohungen erkennbar werden. Sie verbessert außerdem die Entscheidungsfindung, indem sie Analysten den nötigen Kontext liefert, um schnell und sicher festzustellen, ob etwas harmlos ist oder eskaliert werden muss.
Das Problem ist, dass die meisten Unternehmen Intelligence nicht in der Geschwindigkeit und Menge operationalisieren können, in der sie eintrifft.
Wenn das geschieht, schwinden beide Vorteile gleichzeitig. Der Überblick beschränkt sich auf die Intelligence, die tatsächlich nutzbar gemacht wurde, denn Feeds, die nicht normalisiert, kontextualisiert und der Umgebung des Unternehmens zugeordnet sind, liefern Analysten kaum verwertbare Informationen. Untersuchungsentscheidungen werden dann eher aus dem Bauch heraus als auf Grundlage von Kontext getroffen.
Für viele Unternehmen ist nicht das Sammeln, sondern die Operationalisierung von Intelligence der Punkt, an dem die meisten Programme scheitern.
Die meiste Threat Intelligence soll keine neue Erkennung auslösen
Fragt man ein Security-Operations-Center-(SOC)-Team, welcher Anteil seiner Threat Intelligence in Maßnahmen umgesetzt wird, hängt die Antwort davon ab, was „in Maßnahmen umgesetzt“ bedeutet.
Die meiste Threat Intelligence dient dazu, Entscheidungen zu unterstützen, und nicht unbedingt dazu, völlig neue Erkennungen auszulösen. Wenn ein Indikator einen Alarm auslöst und ein Analyst anhand der umgebenden Intelligence feststellt, dass die Aktivität harmlos ist, hat diese Intelligence ihren Zweck erfüllt. Ein False Positive schnell und korrekt zu schließen, ist eine Maßnahme.
Der übrige Teil der Intelligence wird nicht einfach weggeworfen. Er wird Bestandteil von Erkennungen, Anreicherungen und Beobachtungslisten und kann Kontext liefern, sobald Datenverkehr oder ein Artefakt irgendwann dazu passt. Manche Intelligence wird möglicherweise nie relevant, veraltet schließlich und wird ausgemustert. Das ist erwartbar, denn Threat Intelligence hat eine begrenzte Haltbarkeit.
Ein kleiner Teil der Intelligence kann direkte Maßnahmen auslösen, während ein deutlich größerer Teil zu schnelleren und sichereren Entscheidungen beiträgt. Der Rest wartet, bis er relevant wird oder abläuft. Nichts davon deutet darauf hin, dass ein Programm seine Intelligence nicht nutzt. So sieht ein funktionierendes Intelligence-Programm aus.
Lücken in der Abdeckung erreichen nur selten jemanden über den Analysten hinaus
SOC-Analysten deaktivieren regelmäßig Regeln oder stufen Feeds zurück, weil die Menge nicht zu bewältigen ist. Regeln mit zu vielen Fehlalarmen werden stummgeschaltet, damit die Warteschlange handhabbar bleibt. Häufiger werden Regeln gar nicht erst aktiviert, weil Regelwerke von Anbietern und aus der Community mit Erkennungen eintreffen, die eine Feinabstimmung und Validierung erfordern, für die das Team keine Zeit hat.
Analysten haben nur begrenzt Zeit, und eine große Menge an Alarmen zu bewältigen, ist oft die einzige Möglichkeit, die Warteschlange handhabbar zu halten.
Das eigentliche Risiko besteht jedoch nicht einfach darin, dass Alarme erzeugt werden. Es besteht darin, dass Entscheidungen über die Abdeckung auf Analystenebene getroffen werden und die Führung möglicherweise nie erfährt, was unterdrückt wurde, warum es unterdrückt wurde oder welcher Überblick dadurch verloren ging. Das schafft eine gefährliche Diskrepanz. Ein Unternehmen kann glauben, über eine umfassende Erkennungsabdeckung zu verfügen, während es mit Lücken arbeitet, die es weder sehen noch quantifizieren oder später erneut prüfen kann.
Relevante Intelligence kann helfen, diese Lücke aus einer anderen Perspektive zu schließen. Wenn die Intelligence, die in die Triage einfließt, an die tatsächliche Umgebung des Unternehmens gekoppelt ist, können Analysten Störungen sicherer ausblenden, statt sich auf eine pauschale Unterdrückung zu verlassen. Wird eine störende Regel ohne diesen Kontext stummgeschaltet, verliert das Unternehmen möglicherweise auch die Erkennungen, die diese Regel erzeugt hätte.
Bessere Intelligence liefert Analysten den Kontext, um zwischen Störungen und relevanter Abdeckung zu unterscheiden. Dadurch können sie unnötige Alarme reduzieren, wichtige Erkennungen beibehalten und ihre Zeit auf Bedrohungen konzentrieren, die mit größerer Wahrscheinlichkeit real sind. Das Ergebnis sind weniger pauschale Unterdrückungen und eine gezieltere Feinabstimmung auf Grundlage dessen, was in der Umgebung tatsächlich relevant ist.
Prozesse und Automatisierung in Ordnung bringen, bevor KI hinzukommt
Vor der Einführung von KI müssen die meisten SOC-Teams zwei Grundlagen in den Griff bekommen: Prozesse und Automatisierung.
- Relevante Intelligence priorisieren. Filtern Sie Intelligence anhand Ihrer tatsächlichen Assets, Benutzer und Angriffsfläche, bevor ein Tool sie überhaupt verarbeitet, und ein großer Teil der Störungen lässt sich beseitigen, noch bevor die Analyse beginnt.
- Wiederholbare Prozesse etablieren. Damit wird relevante Intelligence in Erkennungen, Threat Hunts und Untersuchungen überführt und die für ihre Umsetzung erforderliche Zeit geschützt.
- Wiederkehrende Aufgaben automatisieren. Nutzen Sie Automatisierung für Anreicherungen, Abfragen und Korrelationen, damit Analysten sich auf Entscheidungen konzentrieren können, die menschliches Urteilsvermögen erfordern.
- Intelligence in bestehende Workflows integrieren. Liefern Sie relevanten Kontext direkt in Alarmen und Untersuchungen, statt ihn in separaten Berichten zu belassen, für deren Prüfung Analysten möglicherweise keine Zeit haben.
Die Herausforderung besteht jedoch nicht einfach darin, diese Praktiken einzuführen, sondern sicherzustellen, dass sie dauerhaft Bestandteil des täglichen SOC-Betriebs bleiben.
Daran scheitern viele Teams. Sie sammeln und lesen Intelligence, operationalisieren sie aber nie konsequent, weil diese Arbeit ständig gegenüber dem zurückstehen muss, was in der jeweiligen Woche gerade brennt. Ohne einen wiederholbaren Prozess bleibt selbst hochwertige Intelligence Information, statt zu einer operativen Fähigkeit zu werden.
Auch die Platzierung ist wichtig. Intelligence muss Analysten innerhalb der Alert- und Untersuchungs-Workflows erreichen, in denen Entscheidungen getroffen werden, statt in einem Bericht zu liegen, den während eines Vorfalls niemand öffnen kann.
Werden Prozesse und Automatisierung richtig aufgesetzt, kann das SOC mit der Menge skalieren, statt in ihr unterzugehen. Diese Grundlage macht auch KI wertvoller.
Agentenbasierte Funktionen können diese Skalierung noch weiter vorantreiben, indem sie mehrdeutige Signale in großer Menge verarbeiten, die heute noch erhebliche menschliche Aufmerksamkeit erfordern. Wichtig ist jedoch: Das Hinzufügen von Agenten zu einem SOC mit schwachen Prozessen, übermäßigen Störungen und uneinheitlicher Automatisierung löst diese grundlegenden Probleme nicht. Im Gegenteil, es kann sie beschleunigen.
Der bessere Ansatz besteht darin, von Anfang an ein SOC aufzubauen, das für den Einsatz von Agenten bereit ist. Etablieren Sie zuerst relevante Intelligence, wiederholbare Prozesse und wirksame Automatisierung. Dann kann KI ein funktionierendes System schneller, skalierbarer und leistungsfähiger machen, statt ein kaputtes System reparieren zu müssen.
Mit dem beginnen, was bereits vorhanden ist
Der Druck, KI ins SOC zu bringen, sollte Unternehmen nicht von der Intelligence, den Prozessen und der Automatisierung ablenken, die bereits greifbar sind. KI kann die Sichtbarkeit von Sicherheitsteams und ihre Reaktionsgeschwindigkeit erheblich erweitern, doch ihr Wert hängt von der zugrunde liegenden Basis ab.
Um von agentenbasierter Sicherheit zu profitieren, müssen Unternehmen zunächst ihre vorhandene Intelligence umsetzbar, ihre Prozesse wiederholbar und ihre Automatisierung wirksam machen. Die Zukunft des SOC mag KI-gesteuert sein, doch der Weg dorthin beginnt damit, das bereits Vorhandene besser zu nutzen.
Lesen Sie auch: Eine Studie mit 14 Modellen zu indirekter Prompt-Injection in KI-Agenten zeigt, wie stark die Erfolgsquoten von Angriffen variieren können, je nachdem, wie KI-Agenten nicht vertrauenswürdige Inhalte verarbeiten, und unterstreicht damit die Notwendigkeit rigoroser Sicherheitstests vor der Einführung.