SOAR und KI Macht künstliche Intelligenz SOAR überflüssig?

Anbieter zum Thema

Fsas Technologies GmbH

FAST LTA GmbH

FTAPI Software GmbH

Wenn Künstliche Intelligenz (KI) für die Automatisierung vieler Security-Funktionen sorgen kann, scheinen auf den ersten Blick SOAR-Lösungen (Security Orchestration, Automation and Response) bald überflüssig zu sein. Das stimmt zwar nicht, aber SOAR wird sich verändern. Das sollten nicht nur Anbieter berücksichtigen, sondern auch die Security-Konzepte der Anwenderunternehmen.

Der Aufstieg von GenAI (generativer KI) verändert Datensicherheitsprogramme und verlagert den Fokus unter anderem auf den Schutz unstrukturierter Daten wie Texte, Bilder und Videos, meint Alex Michaels, Senior Principal Analyst bei Gartner. „Viele Organisationen haben ihre Investitionsstrategien komplett neu ausgerichtet, was erhebliche Auswirkungen auf das Training großer Sprachmodelle (LLM), die Datenbereitstellung und Inferenzprozesse hat“, so Michaels.

Security-Verantwortliche haben nun eine Reihe von KI-bezogenen Aufgaben. „Sie haben nun klare Verantwortlichkeiten für die Sicherung der KI-Nutzung durch Dritte, den Schutz unternehmensweiter KI-Anwendungen und die Verbesserung der Cybersicherheit mithilfe von KI“, führt Alex Michaels aus.

Zu den großen Vorteilen von KI in der Cybersicherheit wird die Entlastung der knappen Security-Fachkräfte gerechnet. Viele Aufgaben in der Cybersecurity lassen sich dank KI jetzt oder in naher Zukunft automatisieren. Doch wenn es bisher um Security-Automation ging, dachte man an SOAR (Security Orchestration, Automation, and Response). Ersetzt also KI nun SOAR?

Ist das klassische SOC am Ende?

Lang lebe das SOC!

SOAR und KI nicht missverstehen

Das Analystenhaus Gartner zum Beispiel definiert SOAR so: Lösungen für Security Orchestration, Automation and Response (SOAR) vereinen Incident Response, Orchestrierung und Automatisierung sowie Threat Intelligence (TI)-Management auf einer einzigen Plattform. SOAR-Tools dienen außerdem der Dokumentation und Implementierung von Prozessen (Playbooks, Workflows und Prozesse), der Unterstützung des Sicherheitsvorfallmanagements und der maschinellen Unterstützung menschlicher Sicherheitsanalysten.

SOAR dient dabei zuerst einmal der Standardisierung der Antworten auf Security-Vorfälle, sorgt also dafür, dass das Zusammenspiel von Security-Funktionen bei Vorfällen in geregelten Bahnen abläuft. Dazu werden an sich getrennte Security-Tools verknüpft und definierte Regeln entworfen, die die Abläufe und das Ineinandergreifen der Tools festlegen. Die menschlichen Security-Fachkräfte werden so entlastet, denn die definierten Security-Workflows lassen sich in vielen Bereichen dann automatisieren.

Bislang hapert es aber noch bei der Automatisierung der Security-Operations, wie auch die Studie „SANS 2024 Security Operations Center Survey“ zeigt. KI kann helfen, die Herausforderungen anzugehen, sollte aber nicht als SOAR-Ersatz, sondern als SOAR-Unterstützung angesehen werden.

Hype oder Realität?

KI im autonomen SOC

Wo KI bei SOAR helfen kann

SOAR leidet wie die gesamte Security an der riesigen Fülle sicherheitsrelevanter Daten, entsprechend kann KI bei der Sammlung, Auswertung und Interpretation der Security-Daten helfen, und zwar in sehr kurzer Zeit. Dabei kann KI auch daran mitwirken, die Zahl der False Positives zu verringern, um die Zahl unnötiger Security-Antworten zu minimieren.

Zudem sind nicht alle SOAR-Implementierungen wirklich einfach in der Nutzung und Bedienung. Mittels KI kann das Zusammenspiel zwischen den SOAR-Lösungen und den menschlichen Security-Fachkräften vereinfacht und beschleunigt werden. Nicht zuletzt ist es nicht immer einfach, die „Playbooks“ zu entwerfen, nach denen die Security ablaufen soll. Wieder ein Bereich, in dem KI bei der Erstellung unterstützen kann.

Anstatt also KI als Alternative zu SOAR misszuverstehen, sollte man den Wandel von SOAR zu KI-unterstütztem SOAR betrachten und verfolgen. Ohne Zweifel wird sich dank KI noch mehr automatisieren, also SOAR weitertreiben lassen. Das bedeutet aber nicht das Ende von SOAR, sondern eine Veränderung und sogar noch stärkere Ausbreitung.

Sichtbar ist dies auf dem Markt in vielen KI-SOAR-Lösungen wie Swimlane, Cyware, Radiant Security, SentinelOne, Trellix, Google, Tanium, Dropzone AI, Palo Alto Networks, AgileBlue und Anomali.

Neues eBook „Transformation und Compliance im SOC“

Wie ein modernes SOC der Compliance helfen kann

Wie KI SOAR-Lösungen erweitert

KI kann in SOAR-Umgebungen dafür sorgen, dass die Erkennungsraten und -zeiten für Cyberattacken verbessert werden und die Produktivität und Zufriedenheit der Security-Fachkräfte steigt. Das gelingt auch dadurch, dass KI es möglich macht, auch außerhalb der definierten Regeln und Playbooks des SOAR schneller und gezielter zu agieren. Ohne KI müssten hier die menschlichen Expertinnen und Experten stärker eingreifen.

Das Analystenhaus AIMultiple sieht den Eintritt in die Phase der KI-Agenten im SOAR: KI-Agenten in SOAR-Operationen fungieren demnach als autonome Entscheidungsträger, die Netzwerke überwachen und Daten analysieren können. KI-Agenten bieten dabei eine aktivere und autonomere Arbeitsweise als generative KI.

Ein System mit generativer KI kann zum Beispiel Vorfallberichte erstellen, Reaktionsstrategien entwerfen oder Zusammenfassungen aus Rohdaten und Ereignissen erstellen, so das Analystenhaus. Ein agentenbasiertes KI-System kann aber auch eine schädliche IP-Adresse blockieren, einen kompromittierten Endpunkt isolieren oder Sicherheitsrichtlinien automatisch und ohne menschliche Aufsicht durchsetzen.

Trotzdem ist KI nicht der Ersatz für SOAR, sondern es führt zu einer Transformation von SOAR und treibt die Automatisierung auch jenseits der Playbooks voran.

Managed Detection and Response

Datenzentrierter Ansatz zur Anomalie­erkennung

(ID:50428406)