Elastic AlertZero: KI-Agenten sollen Sicherheitswarnungen vorsortieren

Elastic, ein Anbieter von Unternehmenssoftware für Datensuche, Analyse und IT-Sicherheit, hat am 8. Oktober AlertZero vorgestellt. Die Erweiterung für Elastic Security soll laut Hersteller Warnmeldungen vorsortieren und Untersuchungen vorbereiten. Angekündigt ist zunächst eine technische Vorschau, also eine frühe Testversion.

Warum eine Warnmeldung noch keine Antwort ist

Sicherheitssoftware meldet verdächtige Vorgänge. Die zuständigen Sicherheitsteams müssen daraus ein Gesamtbild gewinnen: Hängen mehrere Meldungen zusammen? Steckt ein Angriff dahinter oder ein Fehlalarm? Was sollte als Nächstes passieren? Elastic beschreibt die Menge dieser Meldungen und das Zusammenführen einzelner Hinweise als zentrale Probleme.

Hier setzt AlertZero an. Die Agenten sollen Informationen zusammentragen, Zusammenhänge untersuchen und begründete Vorschläge vorlegen. Gemeint ist keine zusätzliche Chat-App für Privatnutzer, sondern eine Erweiterung für die Arbeit mit Elastics Sicherheitssoftware in Unternehmen.

Vier Agentenrollen teilen sich die Vorarbeit

Elastic nennt die spezialisierten Gruppen „Watches“. Dahinter stehen vier Aufgaben:

• Warnmeldungen vorsortieren: Die Triage Watch bewertet Meldungen und verbindet zusammengehörige Hinweise. SiliconANGLE beschreibt außerdem, dass sie als Rauschen eingestufte Meldungen mit einer schriftlichen Begründung schließen kann.
• Nach Angriffsspuren suchen: Die Hunt Watch nutzt Erkenntnisse über Bedrohungen, um vorhandene Systemdaten gezielt zu durchsuchen.
• Erkennungsregeln verbessern: Die Detection Watch untersucht Regeln, die viele Fehlalarme erzeugen, und schlägt Änderungen vor. Solche Regeln legen fest, bei welchen Vorgängen eine Warnmeldung entsteht.
• Vorgänge auf Geräten untersuchen: Die Forensics Watch prüft, was auf betroffenen Computern passiert ist und welche Reaktion sich daraus begründen lässt.

Ein Beispiel von Elastic macht den Ablauf greifbar: Ein Benutzerkonto fällt durch Anmeldungen von weit entfernten Orten kurz hintereinander auf. Die Agenten tragen dazu Hinweise zusammen, darunter auffällige Vorgänge auf einem Computer. Daraus entsteht ein Vorschlag, das betroffene Gerät zu isolieren. Im gezeigten Ablauf prüft ein Mensch die Begründung und entscheidet über die Maßnahme. Das ist eine Herstellerdemonstration, kein von uns durchgeführter Praxistest.

Wie viel dürfen die Agenten selbst entscheiden?

Die Antwort hängt von der Aufgabe und ihrer Einstellung ab. Laut SiliconANGLE lässt sich der Grad der Selbstständigkeit bis auf einzelne Aufgaben festlegen.

Im Detailabschnitt zur Autonomie beschreibt Elastic auch einen überwachten Modus, in dem bestimmte Eingriffe am Gerät ohne zusätzliche Einzelbestätigung möglich sein sollen – etwa das Isolieren des Computers oder das Beenden laufender Programme. Änderungen an Erkennungsregeln benötigen dagegen weiterhin eine Freigabe. Auch eine unklare Angriffsbewertung erfordert nach Herstellerangaben eine menschliche Entscheidung.

Aus unserer Sicht liegt hier die wichtige Unterscheidung: Informationen selbstständig untersuchen und eigenständig in ein System eingreifen sind zwei verschiedene Aufgaben. AlertZero verbindet beides, lässt den Umfang aber einstellen. Ob dadurch wirklich weniger Arbeit liegen bleibt, hängt auch davon ab, wie gut die Befunde und Vorschläge sind. Der Name steht für das Ziel eines leeren Warnmeldungs-Postfachs; die angekündigte Vorschau muss erst zeigen, wie weit die Praxis diesem Ziel näherkommt.