Das Team im Agentic SOC: Verteidigung in Maschinengeschwindigkeit im KI-Zeitalter

Jetzt oder nie

Es gibt einen Spruch, auf den ich immer wieder zurückkomme: Jetzt oder nie.

Das klingt vielleicht dramatisch, beschreibt die Lage für Sicherheitsteams jedoch ziemlich treffend. Die Uhren im Sicherheitsbetrieb ticken heute anders. Frontier-KI bietet Angreifern neue Möglichkeiten, schneller vorzugehen, mehr Störsignale zu erzeugen, mehr Pfade zu prüfen und sich dabei anzupassen. Schwachstellen, Phishing, Lieferkettenrisiken und Insider-Bedrohungen waren eigentlich bisher schon schwierig genug. Jetzt können dieselben Angriffsvektoren zudem beschleunigt, automatisiert und in einem Signalvolumen versteckt werden, das die meisten Teams nicht mehr manuell überprüfen können.

Die Frage für Sicherheitsverantwortliche lautet also nicht mehr: „Sollen wir KI im SOC einsetzen?“, sondern besser „Wie nutzen wir KI, um schneller zu werden, ohne die Kontrolle abzugeben?“

Das ist der Einstieg in das agentenbasierte SOC – das Agentic SOC.

Warum sich das SOC verändern muss

Die meisten SOCs wurden für Arbeitsabläufe in menschlichem Tempo konzipiert: Warnmeldung prüfen, zwischen Tools wechseln, Kontext sammeln, Entscheidung treffen, Maßnahme dokumentieren und mit der nächsten Benachrichtigung fortfahren. Dieses Modell ist zwar weiterhin wichtig, lässt sich jedoch nicht sauber skalieren, wenn Angreifer mit Maschinengeschwindigkeit agieren können.

Diese Asymmetrie ist ein Problem. Angreifer können KI nutzen, um mehr Angriffsversuche zu unternehmen, mehr Varianten zu erstellen und mehr Druck zu erzeugen. Die Verteidiger müssen noch immer nachweisen, was passiert ist, entscheiden, was wichtig ist, und sicher reagieren. Wenn bei jedem Schritt darauf gewartet werden muss, dass ein Mensch manuell die Zusammenhänge herstellt, wird das SOC abgehängt.

Die Lösung besteht allerdings nicht darin, autonomer KI die Kontrolle zu übergeben und auf das Beste zu hoffen. Es muss vielmehr ein Modell entwickelt werden, bei dem Autonomie sorgfältig delegiert wird – beschränkt durch Richtlinien, gestützt auf Beweise und gelenkt durch Menschen.

Der eigentliche Wandel besteht also in der Entwicklung von einem SOC, in dem Menschen jede sich wiederholende Aufgabe übernehmen, hin zu einem SOC, in dem KI die Arbeit bis zu dem Punkt ausführt, bis zu dem es die Richtlinien zulassen.

Das agentenbasierte SOC beginnt mit Vertrauen

Beim „Agentic SOC“ geht es nicht darum, Menschen im Sicherheitsbetrieb zu ersetzen. Es geht darum, Analysten, Engineering- und Response-Teams sowie Führungskräften eine bessere Möglichkeit zu geben, ihre Expertise zu skalieren.

Das ist wichtig, denn Vertrauen bestimmt, wie weit KI gehen darf. In einigen Bereichen des SOC kann KI arbeitsintensive Aufgaben sicher übernehmen, wie etwa Triage, Beweissicherung, Zusammenfassung und Empfehlungen für nächste Schritte. In anderen Bereichen, wie Detection Engineering, Response-Automatisierung oder Eindämmung, erfordern die Aufgaben eine Beurteilung auf höherer Ebene. KI kann die Arbeit beschleunigen, aber Menschen müssen weiterhin die Absicht festlegen, Maßnahmen genehmigen und die Ergebnisse lenken.

Einfach gesagt: Delegierte Autonomie übernimmt die wiederholbaren Aufgaben; begrenzte Autonomie unterstützt die Aufgaben, die eine Beurteilung durch höhere Stellen erfordern.

Verteidigung in Maschinengeschwindigkeit

Auf der höchsten Ebene geht es beim Agentic SOC darum, wie man Sicherheitsteams Verteidigung in Maschinengeschwindigkeit ermöglichen kann, ohne dabei auf menschliche Kontrolle zu verzichten. Das Narrativ lässt sich in drei zusammenhängende Ergebnisse unterteilen:

• Autonom verteidigen: Geschwindigkeit KI-gestützter Bedrohungen mit vertrauenswürdigen Agenten und menschlicher Kontrolle überbieten
• Angriffe an der Quelle stoppen: dezentrale Verteidigungseinrichtungen mit unternehmensweiter Transparenz kombinieren
• Eindämmen kritischer Schwachstellen: geschäftskritische Risiken kontinuierlich identifizieren, priorisieren und beheben

Dies sind nicht drei voneinander getrennte Themen. Sie bauen vielmehr aufeinander auf. Das SOC benötigt Autonomie, um schneller zu agieren. Es benötigt Daten und Kontrollmechanismen nahe an der Quelle, um unternehmensweit für Transparenz zu sorgen und Maßnahmen zu ergreifen. Und es benötigt Kontext zu Sicherheitslücken, damit Teams Risiken reduzieren können, bevor jede Schwachstelle zu einem Vorfall wird.

Das Team im Agentic SOC

Die Belegschaft des agentenbasierten SOC macht den „Agentic SOC“-Ansatz leichter verständlich und besser umsetzbar. Anstatt KI als lange Liste eigenständiger Funktionen darzustellen, erweitert Splunk bestehende Funktionen und führt neue Agenten ein, um bestehende Arbeitsabläufe von SOC-Teams mit neuen Fertigkeiten zu ergänzen: Detection & Security Engineering, Threat Hunting, Investigation & Response sowie Governance & Policy.

Detection & Security Engineering unterstützt Teams dabei, schneller eine zuverlässige Abdeckung aufzubauen. Dieser Agent vereint Fertigkeiten in den Bereichen Erkennungserstellung, Automatisierung, Konnektoren, Threat Graph-Erkennung, agentenbasierte Workflows und Optimierung, sodass Teams mit weniger manuellem Aufwand von der Idee zur geprüften Abdeckung gelangen.

Threat Hunting hilft Teams, neue Bedrohungen zu finden und abzuwehren. Die proaktive Bedrohungs-suche und Malware Threat Reversing helfen Analysten dabei, Daten zu durchsuchen, Hypothesen zu testen und verdächtige Aktivitäten früher zu untersuchen.

Investigation & Response hilft Teams, Bedrohungen schneller einzudämmen und abzuwehren. Fertigkeiten in den Bereichen Triage, Untersuchung und Reaktion helfen Teams, mit mehr Kontext, Konsistenz und Kontrolle von der Warnmeldung zur Maßnahme zu gelangen.

Governance & Policy schafft Vertrauen in die Belegschaft. Standardvorgehensweisen (SOPs, Standard Operating Procedures), Schwachstellenkontext, gemeinsame Beweismittel, Genehmigungen, Überprüfbarkeit und Orchestrierung tragen dazu bei, dass Autonomie nachvollziehbar bleibt und sich an der Arbeitsweise des SOC orientiert.

Zusammen verwandeln diese Agenten einzelne Fertigkeiten in koordinierte SOC-Handlungen. KI übernimmt sich wiederholende, arbeitsintensive Aufgaben, während sich der Mensch auf die Bereiche Beurteilung, Strategie und Ergebnisse konzentriert.

1. Autonom verteidigen

Autonome Verteidigung beginnt mit den arbeitsintensivsten Aufgaben im SOC: Triage und Untersuchung. Hier verlieren Teams Zeit durch Fehlalarme, verstreute Kontextinformationen und sich wiederholende Beweiserfassung. Und genau hier können zweckspezifische agentenbasierte Funktionen sofort einen Unterschied machen.

In Splunk Enterprise Security arbeiten agentenbasierte Funktionen innerhalb der SOC-Erfahrung, bilden also keine weitere, isolierte Tool-Kette.

Das Ziel ist einfach: Analysten sollen unterstützt werden, damit sie sich schneller auf echte Bedrohungen konzentrieren können. KI kann priorisieren, erklären, zusammenfassen, empfehlen und kontrollierte Reaktionen vorbereiten, während Analysten weiterhin die wichtigsten Entscheidungen treffen.

So entwickelt sich das SOC nach und nach von der Abarbeitung der Warnmeldungsflut zu Ergebnissen: höhere Warnmeldungsabdeckung, weniger manueller Aufwand, schnellere Untersuchungen und eine kürzere MTTR. autonomously starts with the highest-volume work in the SOC: triage and investigation. This is where teams lose time to false positives, scattered context, and repetitive evidence collection. It is also where purpose-built agentic capabilities can make an immediate difference.

2. Angriffe an der Quelle stoppen

Der zweite Teil des Narrativs sind Daten. Die Menge moderner Sicherheitsdaten wächst explosionsartig, und nicht jedes Signal kann oder sollte zentralisiert werden, damit es nützlich wird.

Darin liegt die Bedeutung der Cisco Data Fabric-Story. Das SOC der Zukunft muss Splunk zu den Daten bringen, die Erkennung näher an der Quelle rücken und durch verbundene Kontrollen reagieren. Das heißt, man muss die Leistungsfähigkeit der Erkennungs- und Untersuchungs-Engine von Splunk bewahren und gleichzeitig Teams mehr Flexibilität hinsichtlich Speicherort und Nutzung der Daten geben.

Dies verändert auch die Reaktion. Wenn der Sicherheitsbetrieb mit Cisco-Kontrollen und dem breiteren Ökosystem verbunden ist, kann das SOC mit dem richtigen Kontext und weniger Verzögerung von der Erkenntnis zur Durchsetzung übergehen.

Aus diesem wichtigen Grund kann das Agentic SOC nicht nur eine KI-Ebene sein. Es benötigt eine offene Datenbasis, einheitliche Tools und vernetzte Durchsetzungsmöglichkeiten. Ohne diese Voraussetzungen steht der KI nur unvollständiger Kontext für die Argumentation zur Verfügung.

3. Kritischer Schwachstellen eindämmen

Den dritten Teil des Narrativs bilden die Schwachstellen. Wenn Angreifer schneller vorgehen, müssen Verteidiger besser darin werden, bereits von vorneherein die Zahl der Pfade einzuschränken, die Angreifer überhaupt nutzen können.

Das Schwachstellenmanagement muss kontinuierlich, kontextbezogen und operativ sein. Das SOC muss wissen, wo Risiken bestehen, was davon betroffen ist, ob die Schwachstelle ins Visier genommen wird und welche Eindämmungsmöglichkeiten bestehen.

An diesem Punkt werden Funktionen wie „Exposure Analytics“ Teil des Agentic SOC-Ansatzes, die Asset-, Identitäts-, Cloud- und Risikokontext miteinander verknüpfen, damit Teams die wichtigsten Schwachstellen priorisieren können.

In der Praxis erleichtert dies Teams, von einer reaktiven Verteidigung zu einer proaktiven Risikominderung überzugehen: Die Sicherheitslücke wird aufgedeckt, anhand des Kontexts priorisiert, behoben oder eingedämmt und dann wird geprüft, ob sich das Risiko tatsächlich verändert hat.

Warum Splunk?

Nun kommt der Punkt, der dies zu mehr als nur einer KI-Geschichte macht: Das agentenbasierte SOC funktioniert nur, wenn die KI über die richtige Grundlage verfügt.

Splunk vereint die Bausteine, auf die das SOC bereits setzt: zuverlässige Sicherheitsdaten, Erkennung, Untersuchung, Reaktion, Bedrohungsinformationen, Automatisierung, Schwachstellenkontext und Governance. Durch Cisco wird diese Grundlage noch um Data Fabric, Sicherheitskontrollen, Netzwerke, Identitäten und KI-basierte Verteidigung erweitert.

Diese Kombination ist wichtig, da Sicherheitsteams keinen weiteren „Black-Box“-Assistenten neben dem SOC brauchen. Sicherheitsteams benötigen vielmehr eine KI, die ihre Daten für die Kontextbildung nutzt, in ihre Workflows eingebunden ist, ihre Richtlinien kennt und gegenüber ihren Mitarbeitern rechenschaftspflichtig ist.

Anders ausgedrückt: Die Abwehr der neuesten KI erfordert die neueste KI – allerdings nur dann, wenn der Kunde über die Daten, Kontrollen und das Vertrauensmodell verfügt, um sie verantwortungsvoll einzusetzen.

Wie das Ganze in einem echten SOC aussieht

Nehmen wir an, im SOC geht eine Phishing-Warnmeldung mit hoher Priorität ein. Beim alten SOC-Modell prüft ein Analyst die Warnmeldung, wechselt zwischen verschiedenen Tools hin und her, überprüft Bedrohungsinformationen, sucht nach zugehörigen Aktivitäten und entscheidet über die weiteren Maßnahmen. Jeder Tool-Wechsel kostet Zeit.

Bei einem agentenbasierten SOC wird der Workflow komprimiert. KI kann die Warnmeldung priorisieren, Beweise sammeln, die Angriffskette zusammenfassen, Bedrohungsinformationen verknüpfen, den Schwachstellenkontext prüfen und einen Reaktionspfad empfehlen, der auf genehmigten Verfahren basiert.

Dabei sind drei Faktoren im Gleichgewicht: Geschwindigkeit bei sich wiederholenden Aufgaben, Kontrolle bei höherem Risiko und Transparenz über den gesamten Übergabeprozess hinweg.

Der Weg zur ausgereiften Nutzung

Der Weg zum agentenbasierten SOC ist ein Reifungsprozess. Teams beginnen möglicherweisen mit KI-gestützten Untersuchungen, deterministischer Automatisierung, mehr Entitätskontext oder besseren Schwachstellenanalysen und entwickeln sich dann in Richtung delegierter Autonomie bei der Sichtung, Untersuchung und Reaktion weiter.

Das Wichtige dabei ist, dass man sich Autonomie erarbeiten muss. Teams gelangen zu ausgereifterer Autonomie, wenn sich Beweise, Leitplanken, Genehmigungen, Prüfpfade, Richtlinien und das operative Vertrauen weiterentwickeln.

So entwickeln Menschen und KI gemeinsam mehr Reife. Die KI übernimmt im Laufe der Zeit mehr Aufgaben, doch der Mensch bleibt weiterhin für die Mission, die Risiken und die Ergebnisse verantwortlich.

Fazit

Das Agentic SOC ist keine Zukunftsvision und auch keine einzelne Produktfunktion. Es ist vielmehr das nächste Betriebsmodell für Sicherheitsteams, die mit KI-gestützten Bedrohungen Schritt halten müssen.

Es vereint autonome Sichtung und Untersuchung, schnellere Erkennung und Automatisierung, vertrauenswürdige Reaktionen, verteilte Daten, verbundene Kontrollen und kontinuierliche Risikominderung. Das Wichtigste ist jedoch, dass der Mensch in all diesen Bereichen weiterhin die wichtigen Entscheidungen kontrolliert.

So geht Verteidigung in Maschinengeschwindigkeit: Nicht indem wir das SOC ersetzen, sondern indem wir dem SOC eine vertrauenswürdige Möglichkeit zur Skalierung geben.