Elastic introduceert AlertZero, een nieuwe laag van AI-agents binnen Elastic Security. AlertZero bestaat uit een team van gespecialiseerde agents die leren van de bestaande werkwijze van beveiligingsteams en zich daaraan aanpassen. De agents ondersteunen bij het beoordelen van alerts, het onderzoeken en opsporen van dreigingen, het optimaliseren van detectieregels en forensische analyses.

Zo wordt iedere alert beoordeeld op basis van concrete bewijzen. Hiermee helpt AlertZero securityanalisten om een situatie te bereiken die vergelijkbaar is met inbox zero: een overzichtelijke lijst met aanbevolen acties in plaats van duizenden losse alerts. Analisten behouden de volledige controle over welke taken worden geautomatiseerd en waar menselijke beoordeling nodig is. Ze bepalen zelf hoeveel werk ze aan AlertZero overlaten en wanneer ze zelf beslissingen moeten nemen. AlertZero wordt beschikbaar als Technical Preview en ondersteunt elk AI-model, ongeacht de implementatieomgeving. Zo kunnen organisaties AI inzetten op hun eigen voorwaarden.

Beveiligingsteams lopen al langer tegen hetzelfde probleem aan: het aantal alerts groeit sneller dan de beschikbare capaciteit om ze te onderzoeken. Fout-positieve meldingen vergroten die achterstand verder, waardoor het voor analisten steeds moeilijker wordt om alle alerts te verwerken. Naarmate aanvallers AI op nieuwe manieren inzetten, wordt dit probleem steeds groter. Bij een recente, opvallende cyberaanval genereerde een autonome AI-agent in slechts vier dagen meer dan 17.000 beveiligingsevents binnen een productieomgeving. De aanval begon met het misbruiken van een kwetsbaarheid in een datapijplijn en ontwikkelde zich vervolgens tot het stelen van inloggegevens en het verplaatsen naar andere systemen binnen het netwerk. De afzonderlijke signalen waren detecteerbaar, maar om de aanval te begrijpen moesten deze met elkaar in verband worden gebracht.

AlertZero is specifiek ontwikkeld om dit probleem aan te pakken. Het legt continu verbanden tussen activiteiten en onderzoekt deze, terwijl het beveiligingsteams helpt om fout-positieve meldingen te verminderen die de wachtrij van alerts onnodig vullen. Daarbij kan het zich aanpassen aan veranderende dreigingen.

AlertZero organiseert deze werkzaamheden via zogeheten Watches. Dit zijn gespecialiseerde groepen AI-agents met duidelijk afgebakende verantwoordelijkheden, die op basis van triggers en vaste schema’s worden geactiveerd. Elke Watch richt zich op een specifiek onderdeel van security operations en legt de bevindingen vast in een gezamenlijk onderzoeksdossier:

• TriageWatch verkleint de wachtrij met alerts door meldingen van aanvullende context te voorzien en te bepalen of ze terecht of onterecht zijn. Fout-positieve meldingen worden met een onderbouwing afgesloten, terwijl relevante alerts worden geëscaleerd.
• Hunt Watch neemt het uitvoerende werk van threat hunting uit handen door continu actief naar dreigingen te zoeken, op basis van de systemen en processen binnen de omgeving en inzichten uit dreigingsonderzoek.
• DetectionWatch leert van de andere Watches en stelt verbeteringen voor om detectieregels die te veel meldingen genereren te optimaliseren. Ook stelt deze Watch nieuwe regels voor om hiaten in de detectie op te vullen. Regels worden nooit zonder goedkeuring aangepast.

ForensicsWatch biedt specialistische ondersteuning bij forensisch onderzoek, malwareanalyse en het onderzoeken van aanvalsroutes. Daarmee krijgen teams toegang tot expertise die niet in ieder SOC aanwezig is.

Beveiligingsonderzoeken blijven zelden beperkt tot één databron of één AI-model. Analisten moeten tijdens een onderzoek soms van model kunnen wisselen, afhankelijk van de taak en het beschikbare bewijsmateriaal. Veel AI-beveiligingstools bieden die flexibiliteit niet. AlertZero is juist ontworpen om dit mogelijk te maken. Het maakt gebruik van de volledige data-infrastructuur van Elastic, waaronder gestructureerde en ongestructureerde data, logs en metrics. Daarnaast werkt het met elk AI-model dat een organisatie kan kiezen, ongeacht of de oplossing draait in Elastic Cloud, een zelfbeheerde omgeving of een air-gapped omgeving.

‘Wat AlertZero onderscheidt, is dat de mensen die het hebben ontwikkeld zelf als SOC-analist hebben gewerkt’, zegt Mike Nichols, General Manager Security bij Elastic. ‘We wilden een platform bouwen dat beveiligingsteams voldoende inzicht en controle biedt om agentic automation in te zetten op een schaal en binnen een bereik die zij effectief kunnen beheren. Elke Watch binnen AlertZero sluit direct aan op belangrijke verantwoordelijkheden binnen het SOC. Bovendien kunnen teams per Watch zelf bepalen hoeveel autonomie ze willen geven. Zo krijgen beveiligingsteams ondersteuning waar ze die het hardst nodig hebben, met het AI-model en de implementatieomgeving die het beste aansluiten op hun behoeften.’

Klanten kunnen AlertZero verder uitbreiden met dezelfde Agent Builder-skills en Elastic Workflows die Elastic heeft gebruikt om het platform te ontwikkelen. Daarmee kunnen ze workflows toevoegen die specifiek zijn afgestemd op hun eigen omgeving, zonder het platform te verlaten.

AlertZero wordt als Technical Preview beschikbaar voor klanten van Elastic Security, zowel in Elastic Cloud als in zelfbeheerde en air-gapped omgevingen. Het bouwt voort op bestaande functionaliteiten van Elastic Security, waaronder Attack Discovery, ES|QL, Agent Builder en Elastic Workflows.