Bei einer Sicherheitsüberprüfung ist Automatisierung am sinnvollsten für wiederkehrende, hochfrequente und leicht überprüfbare Aufgaben, da gerade dort manuelle Inkonsistenzen das meiste unnötige Risiko erzeugen, ergibt sich aus dem NHIMG-Material zur Automatisierung von Sicherheitskontrollen. Gleichzeitig zeigt die von Orca Security beschriebene SOC-Orchestrierung, dass Automatisierung nicht mit Reaktion beginnen muss - sie kann mit Anreicherung, Korrelation und Fallanlage starten.
Laut Orca Security sieht eine sichere Arbeitsteilung so aus: zuerst automatische Anreicherung des Alerts mit Kontext, dann Korrelation und Fallanlage, und erst später reversible Behebungsmaßnahmen. Das ist auch im IT-Audit wichtig, denn der Auditor sucht nicht nur nach einem Fehler, sondern auch nach Nachweisen, dass die Kontrolle über die Zeit konsistent gearbeitet hat.
In der Praxis lassen sich mehrere Klassen von Tätigkeiten automatisieren. Laut Orca Security und Materialien zur Sicherheitsautomatisierung gehören dazu: Anreicherung von Alerts, Deduplizierung, Anlage von Fällen, Sammeln von Beweismitteln, Korrelation von SIEM-Daten sowie ausgewählte reversible Behebungsmaßnahmen. Dieselbe Richtung bestätigt SecurityScorecard, indem Triage von Alerts, Korrelation von SIEM-Daten und Routing von Eskalationen ohne Warten auf eine menschliche Entscheidung beschrieben werden.
Laut Materialien von Remedio und NHIMG sollte man am besten Tätigkeiten automatisieren, die einen klaren Zielzustand, Ausnahmekriterien und die Möglichkeit zum Rückrollen haben. Das bedeutet, dass Audit-Regeln eine vorab beschriebene Vertrauensschwelle, ein Ausnahmenprotokoll und einen Mechanismus zur erneuten Überprüfung nach Änderungen enthalten sollten.
Nicht jeder Teil der Sicherheitsüberprüfung eignet sich für vollständige Automatisierung. NHIMG weist darauf hin, dass privilegierte Aktionen, Änderungen von Rechten, Firewall-Regeln oder Isolation von Ressourcen genehmigungspflichtig, zu protokollieren und periodisch zu prüfen sind. Dasselbe Material betont, dass Detektionen mit hoher Sicherheit automatisiert werden können, Benachrichtigungen an Kunden und Ausnahmen für kritische Systeme jedoch der Kontrolle durch Menschen unterliegen sollten.
Im Bereich Verwundbarkeiten empfiehlt securitybeztabu.pl, KI-Ergebnisse als Hypothesen und nicht als endgültige Urteile zu behandeln. Daher sollte Automatisierung bei Triage, Validierung der Reproduzierbarkeit und Priorisierung enden, nicht beim eigenständigen Schließen von Risiken ohne Geschäftskontext.
Das sicherste Einführungsmodell beginnt mit einem kleinen Satz hochsicherer Kontrollen, durchläuft dann einen Pilotversuch in repräsentativen Gruppen und erweitert erst später den Umfang. Remedio empfiehlt außerdem, die Zeit vom Erkennen bis zur bestätigten Schließung, die Anzahl der Ausnahmen, Rollbacks und Abweichungen vom Baseline zu messen.
Im IT-Audit ergibt dieser Ansatz eine einfache Regel: zuerst automatisieren, was häufig, reversibel und messbar ist, und erst später das, was die Produktionsinfrastruktur betrifft. Praktisch bedeutet das, dass KI das Team bei der Sammlung von Beweismitteln, der Organisation von Meldungen und der Überprüfung der Konformität entlasten kann, Entscheidungen über Containment, kritische Eskalation oder die Annahme einer Ausnahme sollten jedoch beim Menschen verbleiben.
Lub System unterstützt B2B-Unternehmen bei der Einführung von KI, Automatisierung und IT-Lösungen - von der Strategie bis zur Umsetzung. Mehr zu unseren Leistungen oder Kontakt aufnehmen.
Quelle: https://orca.security/resources/blog/soc-automation/