autobotAI

Was ist AutobotAI?

AutobotAI ist eine Plattform für die Automatisierung von Agenten, die sich an Sicherheitsteams im Bereich Netzwerksicherheit sowie an IT-Operations-Teams richtet. Sie verbindet Warnmeldungen, Cloud-Ressourcen, Identitätsmanagement, Compliance-Anforderungen, Anwendungs-Sicherheit sowie Tools für den Betrieb – damit Teams Workflows erstellen können, mit denen sie Untersuchungen durchführen, Entscheidungen treffen, Genehmigungen erteilen und Maßnahmen umsetzen können.

Die Produktpositionierung besteht nicht darin, SIEMs oder herkömmliche SOAR-Lösungen zu ersetzen, sondern vielmehr darin, auf der bestehenden Sicherheitstechnologie eine Mehr-Agenten-Orchestrierung, generatives KI-Reasoning sowie eine einheitliche Verwaltung hinzuzufügen. Das Team kann sowohl deterministische Prozesse erstellen als auch für Aufgaben mit geringem Risiko schrittweise die automatische Ausführung ermöglichen.

Kernfunktionen

• Multi-Agenten-Orchestrierung: Es ermöglicht es den Agenten für Sicherheit, Identität, Konformität, Anwendungen und Cloud-Operationen, gemeinsam an der Bearbeitung von Ereignissen zu arbeiten.
• Alarmermittlung und -reaktion: Sammlung von Kontextinformationen, Erweiterung der Bedrohungsinformationen sowie Durchführung von Isolier- oder Blockiermaßnahmen.
• Erklärbare Entscheidungen: Dokumentation der Gründe für die Entscheidung der KI, der durchgeführten Schritte sowie der Ergebnisse.
• Manuelle Überprüfung: Löschungen, Korrekturen oder Änderungen von Berechtigungen mit hohem Einfluss können zunächst einer Person zur Bestätigung vorgelegt werden.
• Workflow-Erstellung: Es werden gleichzeitig Code-freie, low-code- sowie vollständig codierte Ansätze bereitgestellt.
• Einheitliche Integration: Verbindung von Public Clouds, Kubernetes, SIEM, EDR, Chat- und Ticketing-Systemen.
• Automatisierte Konformitätskontrolle: Kontinuierliche Überprüfung von Strategien, Sammlung von Beweisen und Förderung der Beseitigung von Risiken.
• Betriebsverwaltung: Zentrale Ansicht des Agentenzustands, Ausführungshistorie, Audit-Trail und Abweichungen.

Sicheres Betrieb mehrerer Agenten

Die Plattform zerlegt die Fähigkeiten aus verschiedenen Sicherheitsbereichen in kooperierende Agenten, wobei die zentrale Orchestrierungsschicht den Kontext überträgt und Governance-Regeln durchsetzt. Ein verdächtiges Zertifikatsereignis kann gleichzeitig die Aufhebung einer Sitzung, eine Analyse der Auswirkungen auf Ressourcen, die Protokollierung des Ereignisses sowie Compliance-Prozesse auslösen.

Was unterscheidet es von herkömmlichen SOAR-Lösungen?

Workflows und Bot-Erstellung

Bots sind automatisierte Workflow-Einheiten in der Plattform, die durch Ereignisse ausgelöst, zu festgelegten Zeiten ausgeführt oder von anderen Prozessen aufgerufen werden können. Sicherheitsanalysten können Schritte mithilfe visualisierter Knoten kombinieren, während Ingenieure spezielle Aktionen mit Python, APIs oder der Kommandozeile erweitern können.

• Ereignisauslösung: Wird unverzüglich ausgeführt, sobald eine Alarmmeldung, ein Webhook oder ein Systemereignis eingehend ist.
• Zeitgesteuerte Auslösung: Durchführung von Audits, Reinigungen und Beweissammlungen täglich, wöchentlich oder monatlich.
• Manuelle Aktivierung: Wird von Analysten bei Ermittlungen oder im Notfall nach Bedarf gestartet.
• Bedingte Verzweigungen: Je nach Risiko, Bedeutung des Vermögens oder Ergebnissen der Untersuchung werden unterschiedliche Wege gewählt.
• Genehmigungsstufe: Wartezeit auf Genehmigung vor Änderung, Löschung, Blockierung und Berechtigungsänderung.
• Code-Aktionen: Verarbeitung von nicht-standardisierten Systemen und komplexer Logik mit Python oder der Befehlszeile.
• Wiederverwendbare Werkzeuge: Reife Prozesse werden als Funktionen registriert, die von anderen Agenten aufgerufen werden können.

Wie erstellt man den ersten automatisierten Prozess?

1. Wählen Sie sichere Aufgaben mit hoher Wiederholungshäufigkeit, klaren Bewertungskriterien und kontrollierbarem Einflussbereich aus.
2. Verbindet die Quellen von Alarmen, das Asset-Management-System, Bedrohungsinformationen sowie Tools für Benachrichtigungen oder Tickets.
3. In dem Workflow werden Trigger, Datenanreicherung, Prüfungskonditionen und Aktionen festgelegt.
4. Für Löschung, Isolierung, Sperrung und Änderungen der Berechtigungen wurde ein Schritt zur manuellen Freigabe hinzugefügt.
5. Verwenden Sie historische Ereignisse oder Testumgebungen, um normale, abweichende und fehlerhafte Pfade zu überprüfen.
6. Starten Sie zunächst im Lesmodus oder im Empfehlungsmodus, um die Beurteilungen des Agenten mit den Schlussfolgerungen der Analysten zu vergleichen.
7. Nach Erreichen der Schwellenwerte für Genauigkeit und Sicherheit wird schrittweise die automatische Bearbeitung mit niedrigem Risiko freigegeben.

Manuelle Prüfung und Erklärbarkeit

Die Genehmigungsstufe ermöglicht es den Verantwortlichen, nach Prüfung des Kontexts Reparaturen, Löschungen sowie Änderungen an Ressourcen zu genehmigen oder abzulehnen. Die Plattform legt Wert darauf, für jede Entscheidung Gründe, Schritte und Ergebnisse festzuhalten, um eine sichere Nachbereitung, Erklärungen durch die Leitung sowie Beweissicherung für Audits zu ermöglichen.

• Automatische Ausführung, nachträgliche Benachrichtigung und vorherige Genehmigung werden nach dem Risiko der Aktion unterschieden.
• Die Genehmigungsinformationen sollten Vermögenswerte, Alarme, Beweise, empfohlene Maßnahmen sowie potenzielle Auswirkungen enthalten.
• Nach einer Ablehnung sollte ein Ersatzprozess eingeleitet werden, anstatt zu ermöglichen, dass die Angelegenheit stillschweigend beendet wird.
• Alle menschlichen Entscheidungen sowie die Aktionen der Agenten müssen in unauffällig zu ändernde Prüfprotokolle aufgenommen werden.
• Prozesse mit hohem Einfluss erfordern eine Konfiguration für Notstopp, Rollback und manuelle Übernahme.

Integrationstauglichkeit

Laut der offiziellen Website kann die Plattform mit mehr als 600 verschiedenen Diensten verbunden werden – darunter AWS, Azure, Google Cloud, Kubernetes, Code-Repositorys, Überwachungstools, Chat-Apps sowie Sicherheitsprodukte. Die tatsächlich verfügbaren Funktionen, die Authentifizierungsmethoden sowie das Angebot an Paketen müssen für jeden jeweiligen Anschluss einzeln überprüft werden.

Linux Agent

Der Linux Agent wird verwendet, um in der Zielumgebung Befehlszeilenwerkzeuge und Skripte auszuführen. Er kann Cloud-CLI, Terraform, Ansible, Kubectl sowie Bash-Befehle nutzen. Laut den offiziellen Dokumentationen ist Ubuntu 22.04 oder eine neuere Version erforderlich. Die Unterstützung für x86_64 und ARM64 ist vorhanden, außerdem muss eine sichere Netzwerkverbindung zur Plattform hergestellt werden.

• Dienste als Proxy erfordern hohe Systemrechte; vor der Installation muss die Isolierung des Hosts sowie das Prinzip der minimalen Berechtigungen bewertet werden.
• Zertifikate und Konfigurationen sollten von einem kontrollierten Schlüsselsystem verwaltet werden und nicht in gewöhnlichen Skripten oder Tickets gespeichert werden.
• Die Debuggelogdateien können Token oder interne Zustände enthalten; in der Produktionsumgebung sollte kein detaillierter Log-Modus über einen langen Zeitraum aktiviert sein.
• Prüfen Sie zuerst in einer Testumgebung, bevor Sie aktualisieren, um zu vermeiden, dass automatische Updates kritische Abläufe beeinträchtigen.
• Erstellen Sie eine Erlaubnisliste für ausführbare Befehle und begrenzen Sie den Umfang der Ressourcen, auf die der Proxy zugreifen darf.

Szenarien für Sicherheit und Konformität

• Alarm-Unterdrückung: Aufwertung von Alarmen niedriger Priorität, Abschaltung eindeutiger Fehlalarme und Aufstufung von hochriskanten Ereignissen.
• Fischereireaktion: Analyse der E-Mails, Extrahierung von Metriken, Suche nach ähnlichen E-Mails sowie Antrag auf Isolierungsfreigabe.
• Cloud-Konfigurationsverwaltung: Erkennung von öffentlich zugänglichen Speichern, zu permissiven Sicherheitsgruppen und fehlerhaften Identitätsrichtlinien.
• Schlüssellochbehebung: Identifizierung des Verantwortlichen, Erstellung eines Tickets, kontinuierliche Nachverfolgung und Überprüfung der Behebung.
• Zugriffsverwaltung: Suche nach inaktiven Konten, übermäßigen Berechtigungen und kurzfristigen Zugriffen, die bald ablaufen.
• Konformitätsbeweisführung: Regelmäßige Erfassung von Kontrollbelegen sowie Dokumentation von Ausnahmen und der Inkaufnahme von Risiken.
• Schlüsselverwaltung: Erkennung von geleakten oder abgelaufenen Schlüsseln, Koordination des Umtauschs sowie Überprüfung der Unbrauchbarkeit alter Zugangsdaten.
• Zertifikatsverwaltung: Überwachung der Gültigkeitsdauer, Förderung der Verlängerung und Überprüfung des Bereitstellungsstatus.

Empfohlener Bereitstellungsprozess

1. Bestimmen Sie einen Fall mit klaren Geschäftsindikatoren, z. B. die Verringerung der durchschnittlichen Bearbeitungszeit für Alarme der ersten Stufe.
2. Überprüfen Sie die Datenquellen, vorhandenen Tools, Account-Rechte sowie die zuständigen Genehmigungsverantwortlichen.
3. Verbinden Sie das Testkonto in einer isolierten Umgebung und importieren Sie eine kleine Anzahl an historischen Ereignissen, um eine Konzeptprüfung durchzuführen.
4. Definieren Sie Aktionen, die nicht automatisch ausgeführt werden können, die Grenzen der höchsten Berechtigungen sowie Prozesse für den Fall eines Fehlschlags.
5. Vergleichen Sie die Ergebnisse der manuellen Verarbeitung mit denen des intelligenten Systems und dokumentieren Sie die Genauigkeit, Fehlalarme sowie übersehene Fälle.
6. Führen Sie Sicherheitsbewertungen, Penetrationstests, Protokollaudits sowie Tests zur Katastrophenwiederherstellung durch.
7. Schrittweise Einführung und kontinuierliche Überwachung der Kosten, der Reaktionszeit sowie der Qualität der automatischen Verarbeitung.

Pakete und Preise

Die offizielle Website bietet derzeit Lösungen in den Kategorien Community, Standard und Enterprise an. Allerdings werden die festen Preise für Community und Standard nicht direkt in den öffentlich zugänglichen Preisangaben aufgeführt. Für die ersten beiden Kategorien steht ein 14-tägiger kostenloses Probemonat zur Verfügung. Für Enterprise wird ein maßgeschneiderter Preis berechnet; der endgültige Preis hängt von den Angaben auf der Kauf- oder Vertragsseite ab.

Die in der Paketseite angegebenen Ausführungszahlen stellen die Kapazitätsgrenzen dar und entsprechen nicht der Anzahl der Alarme oder Workflows. Bei der Kostenschätzung müssen außerdem Cloud-Ressourcen, Drittanbieter-APIs, Modellaufrufe, Logspeicherung, Implementierungs-Dienste sowie interne Wartungspersonal berücksichtigt werden.

Wie wählt man ein Paket aus?

• Kleine Sicherheits- und IT-Teams können zunächst mit Community zwei Cloud-Integrationen sowie einen Hochfrequenzprozess überprüfen.
• In bewölkten oder gemischten Umgebungen sowie dann, wenn ein vollständiges Set an Sicherheitswerkzeugen erforderlich ist, eignet sich Standard besser zur Bewertung.
• Globale Organisationen, Hosting-Dienstleister für Sicherheit und Umgebungen mit hohen Compliance-Anforderungen benötigen in der Regel Enterprise.
• Während der Probephase sollte die tatsächliche Ausführungsmenge erfasst werden, um zu vermeiden, dass Entscheidungen ausschließlich auf der Anzahl der Teammitglieder beruhen.
• Vor dem Kauf sollten Überbuchungskosten, Modellkosten, Datenspeicherung sowie die Support-Reaktionszeiten überprüft werden.

Für welche Teams geeignet

• Ein Security Operations Center, das täglich mit einer großen Anzahl an wiederkehrenden Alarmen konfrontiert ist und unter Analystenmüdigkeit leidet.
• Unternehmen, die gleichzeitig AWS, Azure, Google Cloud sowie lokale Infrastrukturen verwalten.
• Organisationen, die eine kontinuierliche Identitätsverwaltung, Zugriffsprüfungen sowie die Anwendung des Prinzips der minimalen Berechtigungen benötigen.
• Ein Team für Compliance und Risikomanagement, das automatisch Beweise sammeln und zur Korrektur von Mängeln beitragen muss.
• Es soll Teams entstehen, in denen Analysten mit Low-Code-Tools und Ingenieure mit Python gemeinsam Prozesse entwickeln.
• Ein Hosting-Sicherheitsdienstleister, der Mehrbenutzerfähigkeit, zentrale Verwaltung sowie kundenspezifische Prozesse benötigt.

Vorteile des Produkts

• Es umfasst mehrere Bereiche wie Sicherheit, Identität, Konformität, Anwendungen, Cloud und IT-Operationen.
• Es wird eine schrittweise Entwicklungsmethode angeboten – von kodenlos bis hin zu vollständigem Code.
• Schwerpunkt auf Genehmigungen, Audits, Erklärbarkeit und menschlicher Überprüfung – geeignet für ernste Sicherheitsszenarien.
• Es ist möglich, Überwachungsfunktionen zu den vorhandenen SIEM-, SOAR-, EDR-Systemen sowie Cloud-Plattformen hinzuzufügen.
• Unterstützung von Verbindungsmethoden wie API, Webhook, CLI, Linux Agent und Agent-Protokollen.
• Der Inhalt der offenen Dokumente ist recht vollständig, was es dem Technikteam ermöglicht, zunächst die Anforderungen an Architektur und Betrieb zu bewerten.

Einsatzbeschränkungen und Risiken

• Mehrwertiger Systeme sind komplex und erfordern eine gemeinsame Steuerung durch Sicherheitsteams, Plattformteams und Geschäftsteams.
• Die auf der offiziellen Website angezeigten Daten zu den Automatisierungsraten und Effizienzwerten können die Überprüfung durch das Unternehmen nicht ersetzen.
• Fehlerhafte Konfigurationen von Verbindern mit hohen Berechtigungen oder des Linux-Agenten können die Auswirkungen der Aktionen vergrößern.
• Generative KI kann weiterhin Fehlentscheidungen treffen; entscheidende Maßnahmen zur Trennung, Löschung und Berechtigungsverwaltung müssen weiterhin genehmigt werden.
• Mehr als 600 Integrationen bedeuten nicht, dass jeder Connector alle Aktionen und Unternehmensversionen abdeckt.
• Auf der offiziellen Seite werden die festen Preise für die ersten beiden Stufen nicht angegeben. Die Gesamtkosten müssen durch Anfragen und Pilotberechnungen ermittelt werden.
• Bei der Verarbeitung großer Mengen an Protokollen und sensiblen Alarmen ist es notwendig, die Speicherung der Daten sowie die Verarbeitungswege des Modells gesondert zu prüfen.
• Eine Plattform kann SIEM, EDR, Schwachstellenscans sowie die eigene Sicherheitsverantwortung der Organisation nicht ersetzen.

Checkliste für die Sicherheitssteuerung

GitHub und der Open-Source-Zustand

Die AutobotAI-Kernplattform ist kein vollständig open-source-Projekt. Die offiziellen zugehörigen Organisationen haben Repositorien für Terraform Provider, Integrationssysteme sowie Erweiterungspakete für die Laufumgebung veröffentlicht, die dazu dienen, einige Anbindungsmethoden kennenzulernen. Daraus kann jedoch nicht geschlossen werden, dass die Orchestrierung von Agenten, die Management-Oberfläche sowie die Quellcodes auf der Serverseite öffentlich zugänglich sind.

Grundlegende Informationen

Empfehlungswert

Der Gesamtbewertungswert beträgt 4,4 von 5 möglichen Punkten. Die Funktionen von AutobotAI sind umfassend und die Governance-Struktur ist gut durchdacht – daher eignet sich das System für mittlere bis große Teams, die klare Anforderungen an die Sicherheit der Automatisierung haben. Allerdings müssen Komplexität bei der Implementierung, Rechtrisiken sowie die Gesamtkosten in einem Pilotprojekt überprüft werden.

Häufige Fragen

Was macht AutobotAI hauptsächlich?

Es hilft den Sicherheits- und IT-Teams dabei, intelligente Workflow-Automaten zu entwickeln, zu verwalten und zu betreiben, die zur Untersuchung, Entscheidungsfindung und Umsetzung von Maßnahmen in der Lage sind.

Kann es SIEM oder SOAR ersetzen?

Die offizielle Ausrichtung liegt eher auf Koordination und Erweiterung; es ist möglich, sie mit bestehenden SIEM-, SOAR- und EDR-Systemen zu verbinden. Sie sollte nicht standardmäßig diese Systeme vollständig ersetzen.

Ist Programmierung erforderlich?

Nicht unbedingt, Analysten können visuelle Prozesse verwenden, und Ingenieure können mit Python, API und CLI erweitern.

Wird eine hochriskante Aktion automatisch ausgeführt?

Es ist möglich, die Freigabe nach dem Risikomanagement vorzunehmen; für Aktionen mit hohem Einfluss sollte eine manuelle Bestätigung erforderlich sein und es muss eine Möglichkeit zur Rückerstattung der ursprünglichen Zustände vorhanden sein.

Welche Cloud-Plattformen werden unterstützt?

Offiziell werden AWS, Azure und Google Cloud hervorgehoben; außerdem wird Kubernetes sowie lokale Linux-Umgebungen unterstützt.

Gibt es eine kostenlose Probephase?

Sowohl Community als auch Standard bieten derzeit eine 14-tägige kostenlose Testphase an. Die genauen Bedingungen für die Inanspruchnahme sind auf der Kaufseite zu finden.

Wie viel kostet AutobotAI?

Auf der offiziellen Paketseite werden die ersten beiden Festpreispakete nicht aufgeführt. Für Enterprise wird ein maßgeschneiderter Kostenvoranschlag erstellt, wobei die Kosten in Abhängigkeit von Umfang und Integrationsgrad kalkuliert werden müssen.

Wird manuelle Genehmigung unterstützt?

Unterstützung, Reparatur, Löschung und Ressourcenänderungen können im Workflow mit Zustimmungs- oder Ablehnungsknoten versehen werden.

Gibt es ein offizielles GitHub?

Es gibt öffentliche Terraform-Provider und Integrationsspeicher von verbundenen Organisationen, doch der Kerncode der Plattform ist nicht vollständig offen zugänglich.

Eignet es sich für kleine Teams?

Kleine Teams mit klar definierten, häufigen Aufgaben können mit Community-Pilotprojekten beginnen, doch bei geringer Arbeitsbelastung sollten die Kosten für die Plattformverwaltung gegen den tatsächlichen Nutzen abgewogen werden.