Wie der KI-Agent in SecureVisio funktioniert

Mit der wachsenden Zahl von Bedrohungen im Cyberraum benötigen Organisationen Werkzeuge, die Daten nicht nur sammeln und analysieren, sondern die Operatoren auch aktiv bei der Entscheidungsfindung unterstützen. Die Antwort auf diesen Bedarf ist der KI-Agent in SecureVisio – ein intelligenter Assistent, der sich direkt in das System integriert und die Operatoren in jeder Phase ihrer Arbeit unterstützt. Durch den Einsatz von Sprachmodellen beschleunigt der KI-Agent die Datenanalyse, automatisiert wiederkehrende Aufgaben und steigert die Effizienz von SOC-Teams – während die vollständige Kontrolle über die getroffenen Entscheidungen beim Operator verbleibt.

Architektur und Integration von KI-Modellen

Eines der zentralen Elemente des KI-Agenten in SecureVisio ist seine flexible Integrationsarchitektur. Das System ermöglicht die gleichzeitige Nutzung mehrerer KI-Modelle – sowohl cloudbasierter als auch lokaler. Dadurch können Organisationen die Lösung an ihre eigenen Anforderungen an Sicherheit, Datenschutzrichtlinien und Performance anpassen.

Darüber hinaus lassen sich konkrete Modelle bestimmten Abfrageprofilen (Prompts) zuweisen. Das bedeutet, dass für die Log-Analyse andere Modelle eingesetzt werden können als für die Erstellung von Sicherheitsregeln oder für den Chat. Dieser Ansatz erhöht die Präzision und erlaubt es, die verfügbaren Ressourcen optimal zu nutzen.

Operator- und Expertenkonsole

Der KI-Assistent steht sowohl in der Operatorkonsole (Web-Oberfläche) als auch in der Expertenkonsole (Desktop-Anwendung) zur Verfügung. Damit unterstützt er die tägliche Arbeit der SOC-Analysten ebenso wie die fortgeschrittenen Tätigkeiten von Administratoren und Security-Experten.

Ein wesentliches Merkmal der Lösung ist ihre kontextbezogene Arbeitsweise. Der Agent erkennt, in welchem Modul des Systems sich der Anwender gerade befindet – etwa Logs, Incidents oder Schwachstellen – und schlägt auf dieser Grundlage passende vordefinierte Prompts und Aktionen vor. Dieser Ansatz verkürzt die Analysezeit erheblich und reduziert die Notwendigkeit, zwischen Werkzeugen zu wechseln.

Chat

Die grundlegende Form der Interaktion mit dem KI-Agenten ist der Chat, der ein Gespräch in natürlicher Sprache ermöglicht. Der Anwender kann sowohl einfache Fragen als auch anspruchsvollere technische Abfragen stellen.

Der Assistent stellt eine Reihe vordefinierter Prompts bereit, erlaubt das Anlegen eigener Abfragen, das Führen mehrstufiger Gespräche unter Beibehaltung des Kontexts sowie den Zugriff auf den Verlauf früherer Konversationen. So gelangen Operatoren schnell an die benötigten Informationen, ohne auf externe Quellen zurückgreifen zu müssen.

Events

Im Bereich der Events ermöglicht der KI-Assistent eine blitzschnelle Verarbeitung von Informationen und die Erstellung von Zusammenfassungen. Ausgehend von einem ausgewählten Event wird dessen Kontext analysiert und die wichtigsten Informationen werden in verständlicher Form dargestellt.

Bei Bedarf kann der Operator die Zusammenfassung kürzen oder erweitern, Details nachfragen oder zusätzliche Erläuterungen anfordern. Dieser Ansatz beschleunigt die Analyse großer Datenvolumina erheblich.

Analyse von Incidents und Schwachstellen

Der KI-Assistent unterstützt Operatoren sowohl bei der Bearbeitung von Security-Incidents als auch beim Schwachstellenmanagement: Er beschleunigt die Analyse und erleichtert Entscheidungen. Im Bereich der Incidents erstellt er Zusammenfassungen, hilft bei der Bewertung, ob ein Event tatsächlich einen Incident darstellt, empfiehlt die nächsten Analyseschritte, unterstützt den Klassifizierungsprozess und lässt sich in Playbooks zur Automatisierung von Abläufen einbinden. Durch die Analyse von Kontext und Event-Historie schlägt er außerdem Anpassungen an Erkennungsregeln vor, etwa um die Zahl der False Positives zu senken.

Im Schwachstellenmanagement werden Zusammenfassungen zu Schwachstellen, eine Analyse ihrer Auswirkungen auf die Umgebung sowie Empfehlungen für Remediation oder Mitigation erzeugt. Der Anwender kann darüber hinaus Fragen zu konkreten Schwachstellen stellen – beispielsweise anhand einer CVE-Nummer – und erhält detaillierte Hinweise zu ihrer Behebung sowie eine Einschätzung der potenziellen Auswirkungen auf die Infrastruktur.

Logs

Im Log-Browser erleichtert der KI-Assistent das Verständnis selbst sehr komplexer Einträge. Der Anwender kann einen konkreten Log auswählen und dessen Analyse oder Zusammenfassung anfordern. Die Analyse lässt sich um die Identifikation von Bezügen zu MITRE ATT&CK-Techniken, Empfehlungen für weitere Schritte sowie eine vertiefende Analyse im Dialogformat erweitern.

Dadurch können sich Operatoren auf die Interpretation der Ergebnisse konzentrieren, statt große Informationsmengen selbst durchzuarbeiten.

Parser, Regeln und Skript-Aktionen

Der KI-Assistent unterstützt die Erstellung und Weiterentwicklung von Sicherheitsmechanismen – darunter Parser, Konnektoren, Erkennungsregeln und Skript-Aktionen. Er ermöglicht die Generierung neuer Parser auf Basis von Beispieldaten, die Aktualisierung bestehender Parser sowie den Aufbau von Integrationen mit neuen Log-Quellen. Das vereinfacht die Anbindung weiterer Systeme und Datenquellen in der Sicherheitsumgebung erheblich.

Im Bereich der Automatisierung unterstützt er zudem die Erstellung und Weiterentwicklung von Skript-Aktionen, indem er Skriptvorschläge generiert und diese an konkrete Szenarien anpasst. So lassen sich automatische Reaktionen schneller vorbereiten, potenzielle Fehler im Skript reduzieren und neue Wirkmechanismen effizienter einführen.

Eine der fortgeschrittensten Anwendungen des KI-Agenten ist die Unterstützung bei der Erstellung und Optimierung von Sicherheitsregeln. Er kann auf Basis des verfügbaren Kontexts neue Regeln generieren, bestehende Erkennungsmechanismen analysieren, Optimierungen vorschlagen sowie Korrekturen und Ausnahmen empfehlen. Weniger erfahrene Operatoren erstellen dadurch schneller wirksame Erkennungsmechanismen, und Experten erhalten ein Werkzeug, das ihre Arbeit spürbar beschleunigt.

Personalisierung und Prompts

Ein wesentliches Element des KI-Assistenten ist die Möglichkeit, Prompts zu personalisieren. Das System erlaubt die Nutzung fertiger Vorlagen, das Anlegen eigener Abfragen, deren Zuordnung zu ausgewählten Systembereichen sowie die Definition von Benutzerrollen und Wissensniveaus. Antworten lassen sich so gleichermaßen auf Einsteiger wie auf fortgeschrittene Operatoren zuschneiden.

Fazit

Der KI-Assistent in SecureVisio ist ein umfassendes Werkzeug, das die Sicherheitsanalyse auf mehreren Ebenen unterstützt. Durch die Integration verschiedener KI-Modelle, die kontextbezogene Arbeitsweise und den breiten Einsatz im gesamten System optimiert er die Arbeit von SOC-Teams – von der Log-Analyse und der Incident-Bearbeitung bis hin zur Erstellung von Sicherheitsregeln und der Automatisierung von Abläufen.

Er verkürzt die Bearbeitungszeit von Aufgaben, erhöht die Qualität der Analysen und hilft, treffsicherere Entscheidungen zu fällen – wobei die endgültige Kontrolle beim Anwender bleibt. Im Ergebnis wird SecureVisio mit dem KI-Assistenten nicht nur zu einem System für das Sicherheitsmanagement, sondern auch zu einem intelligenten Partner, der Spezialisten in ihrer täglichen Arbeit unterstützt.