KI in SecureVisio 6.0: Wie Machine Learning, LLMs und Deep Value Learning den Sicherheitsbetrieb transformieren

SecureVisio 6.0 führt eine leistungsstarke, mehrschichtige KI-Engine ein, die grundlegend verändert, wie Sicherheitsteams Bedrohungen erkennen, auf Vorfälle reagieren und ihren SOC-Betrieb automatisieren. Dies ist der zweite Artikel unserer SecureVisio-6.0-Serie. Der erste Beitrag behandelte die Neuerungen in der Webanwendung. Kommende Artikel beleuchten erhebliche Leistungsverbesserungen, erweiterte SIEM- und SOAR-Funktionen sowie umfangreiche Verbesserungen an der CMDB- und UEBA-Engine. Dieser Artikel konzentriert sich ausschließlich auf die KI-Fortschritte in SecureVisio 6.0.

Warum KI in SIEM/SOAR keine Option mehr ist

Security Operations Center sehen sich einer unaufhörlichen Flut von Ereignissen, Alarmen und Log-Daten gegenüber. Menschliche Analysten können diese schlicht nicht in der Geschwindigkeit verarbeiten, die moderne Bedrohungen erfordern. SecureVisio 6.0 wurde mit einer klaren Antwort auf diese Herausforderung entwickelt: intelligente, mehrschichtige Automatisierung, die denkt, bevor sie handelt – und mit der Zeit klüger wird.

Vier KI-Methoden im Zusammenspiel

SecureVisio 6.0 vereint vier eigenständige KI-Techniken in einer einzigen, koordinierten Engine:

1. Machine Learning (ML) Das Fundament. ML-Modelle analysieren Verhaltensmuster in allen eingehenden Daten – erkennen Anomalien, lernen, was für jede Umgebung „normal” ist, und melden Abweichungen in Echtzeit.

2. Deep Value Learning Eine wesentliche Neuerung in Version 6.0. Deep Value Learning ermöglicht es dem System, den Wert bestimmter Verhaltensweisen und Prozesse zu erlernen – beispielsweise welche Prozesse andere Prozesse starten, welche Netzwerkverbindungen für einen bestimmten Host typisch sind oder welche Benutzeraktionen mit welchen geografischen Standorten verknüpft sind. Dies verleiht SecureVisio ein tiefes kontextuelles Verständnis der Umgebung – weit über oberflächliches Mustererkennen hinaus.

3. Large Language Models (LLMs) LLMs fungieren in SecureVisio 6.0 als analytische Stimme des Systems. Sie fassen Vorfälle zusammen, erläutern Ereignisse in verständlicher Sprache, generieren Suchanfragen für die Bedrohungssuche und helfen Analysten, komplexe Log-Daten zu verstehen – ohne tiefgreifende technische Fachkenntnisse vorauszusetzen.

4. Large Reasoning Models (LRMs) Wo LLMs zusammenfassen, treffen LRMs Entscheidungen. Large Reasoning Models kommen bei anspruchsvollsten analytischen Aufgaben zum Einsatz: Sie bewerten, ob eine Situation eine vertiefte Untersuchung erfordert, und bestimmen die nächste sinnvolle Aktion in einem automatisierten Playbook. Da LRMs mehr Verarbeitungszeit benötigen, setzt SecureVisio sie gezielt ein – erst nachdem ML und Value Learning die Daten bereits gefiltert und priorisiert haben.

Das KI-Schichtenmodell im Ablauf

SecureVisio 6.0 wendet nicht jede KI-Methode auf jedes Ereignis an. Stattdessen durchläuft die Analyse eine bewusst gestaltete, mehrstufige Pipeline, die auf Geschwindigkeit und Präzision gleichermaßen ausgelegt ist:

• Machine Learning läuft zuerst – es erkennt Anomalien über Tausende von Ereignissen pro Sekunde ohne Verzögerung.
• Deep Value Learning bewertet, ob erwartete Verhaltensweisen eingetreten sind, und markiert fehlende oder unerwartete Aktivitäten (prädiktive Wertanalyse).
• LLM-Analyse folgt im nächsten Schritt – sie fasst die Situation zusammen und generiert Ermittlungsanfragen.
• LRM-Reasoning greift zuletzt ein – nur wenn die Situation komplex genug ist – und entscheidet, welche Aktion das Playbook als nächstes ausführen soll.

Dieses abgestufte Vorgehen stellt sicher, dass rechenintensives KI-Reasoning ausschließlich für Situationen reserviert bleibt, die es tatsächlich erfordern – und sorgt so auch im Unternehmensmaßstab für hohe Performance.

KI-gestützte Playbooks: Von statischen Szenarien zur dynamischen Entscheidungsfindung

Eine der bedeutendsten Neuerungen in SecureVisio 6.0 ist die tiefe Integration von KI in Playbooks. Während frühere Versionen auf statische, bedingungsbasierte Szenarien setzten, ermöglicht Version 6.0 der KI, die Playbook-Ausführung aktiv zu steuern.

In der Praxis bedeutet das:

• Ein Playbook-Schritt kann eine KI-Anfrage enthalten – die KI bewertet die Situation und trifft eine Entscheidung.
• Die Antwort der KI wird in einer Variable gespeichert, und das Playbook verzweigt sich entsprechend dem Ergebnis.
• Stellt die KI fest, dass möglicherweise schädliche Dateien vorhanden sind, fährt das Playbook mit Hash-Verifizierung und eingehender Dateianalyse fort. Andernfalls werden diese Schritte übersprungen – was Zeit und Ressourcen spart.

Dies macht Dutzende von vorab geschriebenen statischen Szenarien überflüssig. SecureVisio arbeitet seit jeher mit einem einzigen, einheitlichen Szenariomodell – jetzt wird dieses Szenario durch KI-Reasoning dynamisch gesteuert statt durch starre, vorab festgelegte Bedingungen.

KI-gestützte Bedrohungssuche und Log-Analyse

SecureVisio 6.0 bringt KI direkt in die Hände der Analysten – durch einen kontextbewussten KI-Assistenten, der in der gesamten Benutzeroberfläche verfügbar ist. Arbeitet der Analyst im Log-Parser, kennt der Assistent diesen Kontext und richtet seine Unterstützung gezielt auf Parsing-Aufgaben aus. Wird ein Alarm überprüft, analysiert er dieses spezifische Ereignis.

Zu den wichtigsten Funktionen zählen:

• Vorfallzusammenfassung – die KI erklärt, was bei einem Sicherheitsereignis geschehen ist, in klarer, verständlicher Sprache.
• Suchanfragengenerierung – Analysten können die KI beauftragen, Suchanfragen zu formulieren, um ähnliche Ereignisse oder verwandte Indikatoren in der Log-Datenbank zu finden. Dies senkt die Hürde für die Bedrohungssuche erheblich; die Anfragen können direkt in den Log-Viewer kopiert und sofort verwendet werden.
• Log-Parsing-Unterstützung – die KI kann rohe Log-Beispiele analysieren und Parser-Konfigurationen generieren, was einen der aufwändigsten Teile des SIEM-Onboardings deutlich vereinfacht.

Deep Value Learning: Das System lehren, was wirklich zählt

Deep Value Learning verdient besondere Aufmerksamkeit, da es eine neue Dimension der Intelligenz darstellt, die über die klassische Anomalieerkennung hinausgeht.

In SecureVisio 6.0 können Administratoren festlegen, in welchen Bereichen das System Werte erlernen soll. Beispiele:

• Aus welchen Ländern Benutzer sich verbinden (Quellkontext)
• Auf welche Assets zugegriffen wird und von wem (Zielkontext)
• Welche Prozesse andere Prozesse starten (Prozessaktivität)
• Welche Benutzeraktionen welchen Verhaltenskategorien zugeordnet sind

Dieser anpassbare Lernbereich bedeutet, dass SecureVisio seine Intelligenz an das spezifische Risikoprofil jeder Organisation anpasst – und lernt, was für Sie normal ist, nicht nur das statistische Mittel über alle Umgebungen hinweg.

Flexible Modellunterstützung: Lokale und externe KI

SecureVisio 6.0 unterstützt sowohl interne (On-Premise) KI-Modelle als auch externe KI-Dienste. Organisationen mit strengen Anforderungen an Datenresidenz oder Vertraulichkeit können ihren eigenen lokalen KI-Server betreiben – und alle Daten innerhalb ihrer Infrastruktur halten. Für Organisationen, die cloudbasierte KI bevorzugen, werden ebenfalls externe Modellintegrationen unterstützt.

Beim Senden von Daten an externe Modelle anonymisiert SecureVisio sensible Felder automatisch vor der Übertragung, sodass keine vertraulichen Organisationsdaten an Drittanbieterdienste weitergegeben werden. Darüber hinaus können Benutzer steuern, welche Datenfelder anonymisiert werden – für einen flexiblen und individuell anpassbaren Datenschutz.

Automatisierter Kontextaufbau: Intelligentere CMDB in Version 6.0

In SecureVisio 5.0 war der Asset-Kontext auf das beschränkt, was aus Sicherheitsrichtlinienregeln abgeleitet werden konnte. Version 6.0 führt automatisierte Playbooks für den Kontextaufbau ein – diese suchen kontinuierlich nach Asset-Informationen und aktualisieren sie, ohne manuellen Eingriff zu erfordern.

Aktionen wie Asset-Parameterwert ändern ermöglichen es Playbooks, Assets automatisch zu klassifizieren und anzureichern. Das System kann Asset-Attribute eigenständig bestätigen – oder einen Operator zur Verifizierung auffordern – und bei ausbleibender Rückmeldung selbstständig eine Entscheidung treffen. Das Ergebnis ist eine lebendige, sich selbst aktualisierende CMDB, die mit der Zeit immer präziser wird.

Die Effektivität der Kontexterkennung in Version 6.0 ist keine schrittweise Verbesserung – sie stellt einen qualitativen Sprung dar, wie vollständig und automatisch das System Ihre Umgebung versteht.

Selbstoptimierung: Automatische Rauschreduzierung

Eine der häufigsten Herausforderungen bei SIEM-Deployments ist die Alert Fatigue – Richtlinien, die für bestimmte Hosts oder IP-Adressen zu viele Fehlalarme erzeugen. SecureVisio 6.0 begegnet diesem Problem mit automatischem Triage und automatisch erstellten Ausschlussregeln.

Das System überwacht die Auslösestatistiken von Regeln. Erzeugt eine Richtlinie übermäßiges Rauschen für eine bestimmte IP-Adresse oder ein Benutzerkonto, erstellt es automatisch eine Ausschlussregel – eine Feinabstimmungsaufgabe, die bisher manuellen Operatoreingriff erforderte. Diese Selbstoptimierung reduziert den Zeit- und Fachkenntnisaufwand während der Bereitstellung und des laufenden Betriebs erheblich.

Automatische Parser- und Richtlinienauswahl

Version 6.0 eliminiert außerdem einen der zeitaufwändigsten Schritte beim SIEM-Onboarding: die manuelle Zuweisung von Parsern und Richtlinien zu neuen Log-Quellen. Wenn ein neues Log an SecureVisio weitergeleitet wird, wählt das System nun automatisch den am besten passenden Parser aus und wendet eine geeignete globale Richtlinie an – ganz ohne manuelle Konfiguration.

Diese Funktion ist ein Eckpfeiler des SecureVisio-Ziels, die Deployment-Zeit drastisch zu verkürzen: von typischerweise drei Monaten auf zwei Wochen – mit dem langfristigen Ziel, dass sich Systeme weitgehend selbst konfigurieren.

Unbegrenzte benutzerdefinierte Profile in UEBA

Eine praktische, aber wichtige Verbesserung: Die UEBA in SecureVisio 5.0 war auf 10 Profile begrenzt. Version 6.0 hebt diese Beschränkung vollständig auf und ermöglicht Organisationen, beliebig viele benutzerdefinierte Profile zu definieren. Profile können zudem einzeln deaktiviert oder vom Machine Learning ausgeschlossen werden – was Administratoren präzise Kontrolle darüber gibt, was das System lernt und aus welchen Quellen.

Was das für Sicherheitsteams bedeutet

Die Gesamtwirkung dieser KI-Verbesserungen ist eine Plattform, die:

• Den manuellen Aufwand in Erkennung, Untersuchung, Reaktion und Feinabstimmung reduziert
• Die Einstiegshürde für Bedrohungssuche und Log-Analyse durch KI-gestützte Anfragen senkt
• Die Erkennungsgenauigkeit durch mehrschichtige, kontextbewusste Intelligenz verbessert
• Den vollständigen Incident-Response-Lebenszyklus automatisiert – von der Anomalieerkennung bis zur Playbook-gesteuerten Behebung
• Sich kontinuierlich verbessert, indem sie die spezifischen Muster jeder Umgebung erlernt

SecureVisio 6.0 ersetzt keine Sicherheitsanalysten. Es verstärkt sie – indem es die repetitive, zeitaufwändige Arbeit übernimmt, damit sich menschliche Expertise auf das konzentrieren kann, was wirklich zählt.

Fazit

SecureVisio 6.0 stellt einen echten Quantensprung dar in dem, was eine KI-gestützte SIEM/SOAR-Plattform leisten kann. Durch die Kombination von Machine Learning, Deep Value Learning, LLMs und LRMs in einem einzigen koordinierten System – und durch die tiefe Integration von KI in Playbooks, Kontextaufbau und Selbstoptimierung – bietet SecureVisio eine Automatisierungsfähigkeit, die weit über regelbasierte Alarmierung hinausgeht.

Für Organisationen, die mit Ressourcenengpässen, wachsender Bedrohungskomplexität oder der Herausforderung des Managements groß angelegter Sicherheitsoperationen konfrontiert sind, liefert Version 6.0 eine überzeugende Antwort: intelligente Sicherheitsautomatisierung, die lernt, entscheidet und handelt – mit Maschinengeschwindigkeit.