Commvault und Microsoft: Der Aufstieg von KI-Agenten im Bereich ResOps

Die wichtigsten Erkenntnisse

Sicherheit muss skalierbar sein wie Agent Smith: In „Matrix“ vermehrte sich Agent Smith rasend schnell, um Neo zu überwältigen. Sicherheitsteams stehen heute vor einer ähnlichen Herausforderung, da Bedrohungen und Signale schneller zunehmen als die Kapazitäten der Analysten. KI-gestützte Sicherheitsagenten helfen Teams dabei, Untersuchungen zu skalieren, ohne die Mitarbeiterzahl erhöhen zu müssen.
Die Korrelation von Signalen erhöht die Zuverlässigkeit der Untersuchungen: Der Commvault Security Investigation Agent korreliert Backup-Daten mit Sicherheitssignalen von Plattformen wie Netskope, CrowdStrike und Palo Alto Networks, um festzustellen, ob in den Backup-Daten entdeckte Bedrohungen auch Auswirkungen auf die Produktionssysteme hatten.
Cyber-Resilienz wird agentengesteuert: Der Commvault Security Investigation Agent ist der erste Schritt in eine Zukunft, in der spezialisierte KI-Agenten Sicherheitsteams bei Untersuchungen, Wiederherstellungsentscheidungen und schnelleren Wiederherstellungsabläufen unterstützen.

Einleitung

In „Matrix“ gibt es eine Szene, die für die heutige Technologielandschaft überraschend aktuell wirkt. Agent Smith entdeckt, dass er sich selbst duplizieren kann. Aus einem werden viele, und plötzlich ist Neo von einer Armee identischer Agenten umzingelt, die gleichzeitig agieren.

In vielerlei Hinsicht spiegelt diese Szene die Welt wider, in die wir heute mit agentenbasierter KI eintreten. In zahlreichen Branchen, insbesondere im Bereich der Cybersicherheit, erleben wir derzeit den Aufstieg spezialisierter KI-Agenten, die selbstständig arbeiten, sich rasch skalieren lassen und Menschen auf eine Weise unterstützen können, die zuvor unmöglich war. Doch im Gegensatz zu Agent Smiths unerbittlichem Machtstreben ist das Ziel dieser Agenten nicht die Herrschaft, sondern die Verteidigung.

Skalierung bei gleichzeitiger Überwindung von Silos

Sicherheitsabteilungen stehen heute vor einem grundlegenden Skalierungsproblem. Die Zahl der Systeme, Signale und Sicherheitstools nimmt stetig zu, die Zahl der Analysten jedoch nicht. Unternehmen erfassen mittlerweile Telemetriedaten von Endpunkt-Sicherheitsplattformen, Netzwerkabwehrsystemen, Cloud-Überwachungstools und Identitätsschutzsystemen. Jedes dieser Tools generiert eigene Warnmeldungen und Dashboards und arbeitet oft isoliert von den anderen. Das Ergebnis ist eine überwältigende Datenmenge, die über voneinander getrennte Silos verteilt ist.

Man könnte leicht annehmen, die Lösung bestehe einfach darin, mehr Analysten einzustellen, doch jeder, der schon einmal große Teams geleitet hat, weiß, dass die Aufstockung des Personals ganz eigene Herausforderungen mit sich bringt. Wenn Teams wachsen, wird die Kommunikation komplexer, die Koordination verlangsamt sich, und die Effizienz der Untersuchungen nimmt oft ab. Was Sicherheitsteams wirklich brauchen, sind nicht nur mehr Mitarbeiter, sondern auch mehr Informationen und Automatisierung, damit die Analysten schneller arbeiten und den Überblick behalten können.

Eines der hartnäckigsten Probleme im Sicherheitsbetrieb ist seit jeher die Trennung zwischen Backup-Systemen und Sicherheitstools. Bislang überwachen Sicherheitsteams Produktionsumgebungen über ihre SIEM-Tools (Security Information and Event Management), während Backup-Umgebungen über eine separate Konsole verwaltet werden.

Backup-Daten werden oft erst nach einem Vorfall überprüft, wenn sich Unternehmen bereits mitten im Wiederherstellungsprozess befinden. Doch Angreifer nehmen Backup-Systeme zunehmend ins Visier, gerade weil sie wissen, dass diese für die Wiederherstellung von entscheidender Bedeutung sind. Ransomware-Betreiber verschlüsseln häufig Produktionssysteme, versuchen, Backups zu manipulieren, oder verstecken schädliche Artefakte in geschützten Datensätzen. Das bedeutet, dass Backup-Umgebungen oft wertvolle Hinweise auf einen Angriff enthalten, doch war es für Sicherheitsteams bislang schwierig, auf diese Informationen zuzugreifen und sie mit anderen Signalen zu verknüpfen.

Der neue Sicherheitsermittler

Die neue Integration von Commvault mit Microsoft Sentinel und Microsoft Security Copilot soll diese Lücke schließen. Durch diese Integration können Backups direkt in den Sentinel Data Lake gestreamt werden, wodurch Backup-Telemetriedaten in dieselbe Analyseumgebung eingebunden werden wie Daten von Endgeräten, Netzwerken und Cloud-Diensten.

Anstatt isoliert zu erfolgen, können Backup-Aktivitäten nun im Zusammenhang mit dem gesamten Sicherheitsökosystem analysiert werden. Die wahre Stärke dieser Integration liegt jedoch in der Einführung des Commvault Security Investigation Agent.

Der Security Investigation Agent unterstützt Analysten bei der Untersuchung potenzieller Bedrohungen, indem er Signale aus Backup-Umgebungen mit Signalen anderer Sicherheitsplattformen abgleicht. Gibt ein Analyst den Hostnamen eines Servers an, erfasst der Agent Sicherheitsereignisse, die von der „Commvault Threat Scan Risk Analysis“ generiert wurden, darunter Backup-Anomalien, Verschlüsselungsereignisse, die auf Ransomware-Aktivitäten hindeuten könnten, in geschützten Datensätzen erkannte Malware sowie Backups, die sensible Daten enthalten.

Der Agent gleicht diese Ereignisse dann mit Telemetriedaten anderer Sicherheitslösungen ab, auf die Unternehmen bereits setzen, wie beispielsweise Netskope, CrowdStrike und Palo Alto Networks. Durch die gemeinsame Analyse der Aktivitäten auf diesen Plattformen kann der Agent dabei helfen festzustellen, ob verdächtiges Verhalten, das in Backup-Daten identifiziert wurde, auch in Produktionsumgebungen auftritt.

Wie findet man einen Agenten?

Zunächst zeigen wir Ihnen, wie Sie mit unserem ersten Agenten für Sicherheitsuntersuchungen loslegen können. Anschließend erläutern wir, wie wir neue Agenten – ganz wie Agent Smith – zügig bereitstellen wollen, damit Kunden die Kontrolle über Untersuchungen, Wiederherstellungsentscheidungen und Wiederherstellungsmaßnahmen übernehmen können. So erhalten Sicherheits- und Betriebsteams die Informationen, die sie benötigen, um schneller zu reagieren und die Systeme zuverlässig wiederherzustellen.

Konfigurieren Sie den Connector

Bevor wir den Commvault Security Investigation Agent aktivieren können, müssen Sie die Commvault Cloud installieren und konfigurieren.

Installation: Eine Anleitung zur Installation der Commvault Cloud sowie Informationen zu Berechtigungen und Voraussetzungen finden Sie hier.

Screenshot: Installationsdetails für den Commvault Cloud Connector in Microsoft Sentinel.

Konfiguration: Nach der Installation finden Sie hier Informationen zur Konfiguration.

Verwendung des Commvault Security Investigation Agent

Sobald die Commvault Cloud für Sie installiert wurde, können Sie den neuen Security Investigation Agent nutzen.

Gehen Sie auf https://securitycopilot.microsoft.com/agents.
Suchen Sie nach „Commvault Security Investigation Agent“.
Klicken Sie auf „Agent einrichten“.
Klicken Sie auf „Zum Makler“.
Klicken Sie auf „Ausführen“ => „Einmalig“.
Geben Sie den „Hostnamen“ des Hosts ein, bei dem Sie Unterstützung bei der Untersuchung benötigen, und klicken Sie auf „Absenden“.
1. Hinweis: Der Hostname ist der Name des Servers, auf dem wir nach Ereignissen von Commvault und Partnern wie Netskope, CrowdStrike und Palo Alto suchen möchten.
Der Agent wird ausgeführt, und Sie erhalten als Ergebnis eine detaillierte Analyse sowie Empfehlungen.

Screenshot: Die detaillierte Analyse des Commvault Security Investigation Agent, der auf einem Host ausgeführt wird, der Teil einer Untersuchung ist.

Fazit

„Matrix“ mag die Idee der sich vermehrenden Agenten zwar dramatisiert haben, doch hat der Film eine wichtige Erkenntnis über Größenordnungen eingefangen. Als sich Agent Smith vermehrte, änderte sich die Dynamik des Kampfes völlig. Auch im Bereich der Cybersicherheit vollzieht sich derzeit ein ähnlicher Wandel. Angreifer nutzen zunehmend Automatisierung und KI, um ihre Aktivitäten auszuweiten. Die einzige Möglichkeit für die Verteidiger, hier Schritt zu halten, besteht darin, ihre eigenen Fähigkeiten durch intelligente Systeme zu erweitern, die das menschliche Fachwissen ergänzen.

Durch die Integration von Commvault, Microsoft Sentinel und Microsoft Security Copilot – sowie durch die Einführung des Commvault Security Investigation Agent – erhalten wir bereits einen ersten Eindruck davon, wie diese Zukunft aussehen wird. Es ist eine Welt, in der Sicherheitsprozesse nicht mehr durch Silos eingeschränkt sind, in der Untersuchungen schneller voranschreiten und in der KI-gestützte Agenten gemeinsam mit Analysten daran arbeiten, die Cyber-Resilienz in der gesamten Umgebung zu stärken.

Im Laufe des kommenden Jahres plant Commvault die Einführung weiterer Agenten – ähnlich wie sich Agent Smith in „Matrix“ vervielfältigt –, die Sicherheitsteams dabei unterstützen können, den „Threat Scan“ von Commvault durchzuführen, „Cleanroom“-Umgebungen für SOC-Analysten einzurichten, damit diese Vorfälle sicher untersuchen können, und die Wiederherstellung zu beschleunigen, indem sie die Daten identifizieren, deren Wiederherstellung am sichersten ist.

Wir freuen uns zudem über die Zusammenarbeit mit Microsoft, die es unseren Kunden ermöglicht, mit Microsoft Foundry eigene Agenten zu entwickeln und zu erweitern, um Automatisierungs- und Untersuchungsprozesse an ihre individuellen Umgebungen anzupassen. Durch die Kombination der umfassenden Funktionen von Commvault im Bereich Cyber-Resilienz mit dem KI- und Sicherheitsökosystem von Microsoft unterstützen wir Unternehmen dabei, den Weg in eine Zukunft zu ebnen, in der intelligente Agenten Analysten dabei helfen, Untersuchungen schneller durchzuführen, Silos aufzubrechen und die Widerstandsfähigkeit der gesamten Umgebung zu stärken.

FAQs

F: Was sind KI-Agenten im Sicherheitsbetrieb (SecOps/ResOps)? A: KI-Agenten sind spezialisierte, autonome Tools, die Sicherheitsteams durch die Analyse von Daten, die Korrelation von Signalen und die Unterstützung bei Untersuchungen unterstützen. Sie arbeiten mit menschlichen Analysten zusammen, um die Entscheidungsfindung zu beschleunigen und die Reaktionszeiten in komplexen Umgebungen zu verbessern.

F: Warum ist die Skalierung von Sicherheitsprozessen heutzutage eine so große Herausforderung? A: Sicherheitsteams sehen sich mit einer Flut von Warnmeldungen und Daten aus zahlreichen Tools konfrontiert, während die Zahl der Analysten nur langsam wächst. Dieses Ungleichgewicht führt zu Engpässen, sodass es ohne Automatisierung und intelligente Unterstützung schwierig ist, Bedrohungen effizient zu untersuchen. F: Wie verbessert der Commvault Security Investigation Agent die Untersuchung von Bedrohungen?
F: Wie verbessert der Commvault Security Investigation Agent die Untersuchung von Sicherheitsbedrohungen? A: Der Agent korreliert Backup-Daten mit Signalen von Sicherheitsplattformen wie CrowdStrike, Netskope und Palo Alto Networks. Diese kombinierte Ansicht hilft Analysten dabei, festzustellen, ob in Backups erkannte Bedrohungen auch Produktionssysteme beeinträchtigt haben, was die Zuverlässigkeit der Untersuchungen erhöht. F: Welches Problem löst die Integration von Backup-Daten in Sicherheitsworkflows? A: Backup-Umgebungen enthalten oft entscheidende Beweise für Angriffe, waren jedoch in der Vergangenheit von Sicherheitstools isoliert. Die Integration dieser Daten ermöglicht es Teams, Bedrohungen ganzheitlich zu analysieren, verborgene Risiken aufzudecken und fundiertere Entscheidungen zur Recovery zu treffen. F: Wie können Unternehmen den Commvault Security Investigation Agent nutzen? A: Unternehmen müssen den Commvault Cloud Agent in Microsoft Sentinel installieren und konfigurieren. Nach der Einrichtung kann über Microsoft Security Copilot auf den Agenten zugegriffen werden, um Untersuchungen durchzuführen, indem einfach ein Hostname angegeben wird.

F: Wie sieht die Zukunft von KI-Agenten im Bereich der Cyber-Resilienz aus? A: Die Zukunft deutet darauf hin, dass mehrere spezialisierte Agenten bei der Durchführung von Untersuchungen, der Planung von Wiederherstellungsmaßnahmen und der Durchführung von Wiederherstellungsvorgängen helfen werden. Diese Agenten werden dazu beitragen, Silos aufzubrechen, die Reaktionszeit zu verkürzen und widerstandsfähigere Sicherheitsabläufe in der gesamten Umgebung zu ermöglichen. Ritu Singh ist Senior Product Manager und Rich Vorwaller ist Director, Product Management, bei Commvault.