Künstliche Intelligenz hat die Cybersicherheit auf beiden Seiten verändert: Angreifer automatisieren damit Attacken und beschleunigen das Auffinden von Schwachstellen, Verteidiger nutzen sie zur besseren Bedrohungserkennung und schnelleren Reaktion. Der praktische Nutzen liegt laut Wazuh weniger im Ersetzen menschlicher Expertise als in kontextbezogenen Erklärungen, der Zusammenfassung von Befunden und Empfehlungen für Gegenmaßnahmen.
Das Kernangebot für Cloud-Kunden ist der Wazuh AI Analyst – ein automatisierter Dienst ohne manuellen Einrichtungsaufwand. Er verarbeitet die Sicherheitsdaten des Abonnements über Amazon Bedrock und Anthropics Claude und verschickt in regelmäßigen Abständen E-Mails mit den wichtigsten Indikatoren: einem Histogramm der geschützten Endpunkte, dem Alarmvolumen, den aktiven Schwachstellen und einer Zusammenfassung der Sicherheitslage. Ein vollständiger PDF-Bericht liegt bei.
Der Rhythmus der Berichte richtet sich nach dem Zeitplan des jeweiligen Cloud-Abonnements; die Zustellung erfolgt an die registrierte E-Mail-Adresse. Alternativ lassen sich die Auswertungen in der Wazuh-Cloud-Konsole unter Environments > AI Reports einsehen.
Zum Datenschutz erklärt Wazuh, dass Abonnementdaten nicht an Dritte weitergegeben und nicht zum Training von KI-Modellen verwendet werden. Die Verarbeitung diene ausschließlich der Erzeugung der Berichte, mit verschlüsselter Übertragung, isolierter Verarbeitung und ohne dauerhafte Speicherung. Wie bei jeder KI-Ausgabe gelte: Die Empfehlungen sind beratend und vor dem Handeln an den eigenen Richtlinien zu prüfen.
Für Organisationen, die Wazuh selbst betreiben, gibt es zwei weitere Wege. Die erste Variante bleibt vollständig im eigenen Netz: Ollama führt das quelloffene Llama-Modell von Meta lokal auf dem Wazuh-Server aus. Ein Python-Skript entpackt die archivierten Protokolle für einen gewählten Zeitraum, vektorisiert sie in einen FAISS-Speicher und stellt einen mit LangChain umgesetzten Chatbot für Abfragen bereit. Da nichts an einen Cloud-Anbieter übertragen wird, eignet sich der Ansatz für Teams mit strengen Vorgaben zu Datenschutz oder Datenresidenz. Die vollständige Anleitung findet sich im Wazuh-Blogbeitrag „Leveraging artificial intelligence for threat hunting in Wazuh".
Die zweite Variante bringt Anthropics Claude 3.5 Haiku, gehostet auf Amazon Bedrock, als Chatfenster direkt ins Wazuh-Dashboard – über den OpenSearch Assistant. Die Einrichtung umfasst das Aktivieren des Modells in Bedrock, die Installation der passenden OpenSearch-Plugins sowie das Anlegen eines ML-Commons-Connectors, eines Modells und eines konversationellen Agenten. Der Assistent kann bei gängigen Aufgaben helfen, etwa bei der Frage, wie mit einem Befund umzugehen ist oder wie bestimmte Einstellungen zu konfigurieren sind. Details liefert der Wazuh-Blogbeitrag „Leveraging Claude Haiku in the Wazuh dashboard for LLM-powered insights".
Die Auswahl zwischen selbst gehosteten LLM-Integrationen für datenschutzsensibles Threat Hunting und extern verwalteten Cloud-Modellen erlaubt es Organisationen, den KI-Einsatz an ihre betrieblichen Anforderungen sowie an Datenschutz- und Datenresidenzvorgaben anzupassen. Die Verantwortung für Validierung und folgenreiche Entscheidungen bleibt in allen Fällen bei den Analysten.