Wo KI-Plattformen im SOC sinnvoll sind – und wo nicht

Zusammenfassung

Die Debatte in Security Operations Centern hat sich verschoben: Nicht mehr die Frage, ob KI in den SOC gehört, steht im Mittelpunkt, sondern an welcher Stelle unterschiedliche KI-Typen den größten Nutzen bringen. Der vorliegende Fachbeitrag ordnet Plattformen wie Claude, Codex und Cursor als Werkzeuge ein, mit denen Analysten, Detection Engineers und Incident Responder zusammen mit KI Erkennungsregeln schreiben, Untersuchungen zusammenfassen, Berichte erstellen oder Bedrohungen suchen können. Für die kontinuierliche Bearbeitung großer Alarmmengen seien sie jedoch nicht gedacht. Stattdessen beschreibt der Text ein Drei-Ebenen-Modell moderner Security Operations: unten bestehende Sicherheitswerkzeuge wie SIEM, EDR, Cloud-Sicherheit, Identitätsplattformen und E-Mail-Sicherheit; in der Mitte ein autonomes AI SOC, das Alarme automatisch untersucht und priorisiert; oben KI-Plattformen, die Menschen bei Analyse und Entscheidungen unterstützen. Relevanz gewinnt diese Abgrenzung auch deshalb, weil Angreifer laut dem Beitrag KI bereits für Phishing-Kampagnen, die Automatisierung der Malware-Entwicklung und schnellere Abläufe einsetzen, während Verteidiger KI für Alarm-Triage, Detection-Regeln, Berichte und die Reduzierung manueller Arbeit nutzen.

Im Kern argumentiert der Beitrag, dass unterschiedliche KI-Systeme im SOC für unterschiedliche Aufgaben ausgelegt sind. KI-Plattformen wie Claude, Cursor und Codex seien sehr leistungsfähig, aber in erster Linie Werkzeuge zur Unterstützung von Menschen. Als Beispiele nennt der Text das Erklären verdächtiger PowerShell-Aktivitäten, das Zusammenfassen einer Untersuchung, das Erstellen einer Sigma-Regel oder die Übersetzung einer Detection in eine andere Abfragesprache.

Davon zu unterscheiden sei die Aufgabe, täglich tausende Sicherheitsalarme zu untersuchen. Dafür brauche es nach Darstellung des Beitrags ein autonomes System, das fortlaufend arbeitet, an Sicherheitswerkzeuge angebunden ist, organisatorischen Kontext behält und rund um die Uhr Untersuchungen anstößt, ohne auf eine menschliche Eingabe zu warten. Der Text beschreibt dieses autonome AI SOC als mittlere Schicht zwischen den Datenquellen und den KI-Plattformen für Analysten.

Ein zentrales Argument ist die Wirtschaftlichkeit. Jede Untersuchung beginne mit Kontext: Endpoint-Telemetrie, Prozessbäume, Authentifizierungsprotokolle, E-Mail-Historie, Bedrohungsinformationen, frühere Untersuchungen, Detection-Regeln und Organisationswissen. All diese Informationen verbrauchen laut Beitrag Tokens. Für einzelne Fälle pro Tag sei das bei der Nutzung einer großen Sprachmodell-Plattform vertretbar. Bei tausenden Alarmen täglich entstünden dagegen zehntausende KI-Interaktionen, von denen viele nur feststellen würden, dass ein Alarm harmlos ist.

Als Alternative skizziert der Text ein autonomes AI SOC, das deterministische Abläufe, forensische Analyse, organisatorisches Gedächtnis, zwischengespeicherten Kontext und selektive KI-Logik kombiniert. Große Sprachmodelle würden dort nur an den Stellen eingesetzt, an denen sie tatsächlich Mehrwert liefern, nicht in jedem Schritt jeder Untersuchung. Das soll eine Architektur ermöglichen, die jeden Alarm kontinuierlich untersucht und zugleich kalkulierbare Kosten beibehält.

Hinzu kommt laut Beitrag ein praktisches Problem in Umgebungen mit MDR-Anbietern. Viele Organisationen betrieben keinen eigenen SOC, sondern ließen ihre Umgebung von einem MDR überwachen. In solchen Szenarien liege der Untersuchungsablauf typischerweise beim MDR: Dort befänden sich Analysten, Fallmanagement, Untersuchungshistorie und häufig auch angereicherte Telemetrie. Kunden erhielten meist nur eskalierte Vorfälle und regelmäßige Berichte, nicht jedoch sämtliche Belege aus der Untersuchung. Dadurch fehle einer KI-Plattform wie Claude oft der Zugang zu den Informationen, die der MDR für seine Entscheidungen nutzt.

Der Beitrag leitet daraus ab, dass autonome AI-SOC-Systeme als zusätzliche Architekturschicht an Bedeutung gewinnen. Sie säßen direkt neben den Sicherheitswerkzeugen einer Organisation, untersuchten Alarme beim Eintreffen, behielten organisatorischen Kontext und stellten dieses Wissen sowohl Analysten als auch KI-Plattformen zur Verfügung. Das ersetze MDR-Anbieter nicht zwangsläufig sofort, könne Organisationen aber einen Weg eröffnen, Untersuchungen, institutionelles Wissen und langfristig den eigenen Sicherheitsbetrieb stärker selbst zu kontrollieren.

Als Beleg für die Notwendigkeit, auch weniger auffällige Alarme zu untersuchen, verweist der Text auf eine Analyse von mehr als 25 Millionen Sicherheitsalarmen, die im Jahr 2025 verarbeitet wurden. Demnach gingen fast 1 Prozent der bestätigten Vorfälle auf Alarme mit niedriger Schwere oder rein informativem Charakter zurück. Das soll zeigen, dass relevante Bedrohungen an jeder Stelle des Alarmstroms beginnen können. Ein autonomes AI SOC soll hier zusätzliche Kapazität schaffen, indem es jeden Alarm untersucht und nur jene Fälle eskaliert, die tatsächlich menschliches Urteilsvermögen erfordern.

Ist diese Vorarbeit geleistet, gewinnen KI-Plattformen dem Beitrag zufolge nochmals an Wert: Analysten müssen Belege dann nicht mehr aus mehreren Konsolen zusammensuchen, sondern können sich mit Hilfe der Plattformen auf höherwertige Aufgaben konzentrieren. Die Schlussfolgerung des Textes lautet daher nicht, dass sich Organisationen zwischen einem autonomen AI SOC und Plattformen wie Claude entscheiden müssten. Sie bräuchten beides: ein System für die kontinuierliche Alarmuntersuchung und Werkzeuge, die Sicherheitsfachleuten helfen, schneller zu arbeiten und bessere Entscheidungen zu treffen.

Wo KI-Plattformen im SOC sinnvoll sind – und wo nicht

Ähnliche Artikel

Neueste Artikel