{"id":82064,"date":"2026-09-03T12:40:36","date_gmt":"2026-09-03T20:40:36","guid":{"rendered":"http:\/\/www.sumologic.com\/blog\/wie-der-soc-analyst-agent-die-untersuchungszeit-von-vier-stunden-auf-vierzehn-minuten-reduziert"},"modified":"2026-10-29T17:22:21","modified_gmt":"2026-10-30T01:22:21","slug":"soc-analyst-agent-cuts-investigation-time","status":"publish","type":"blog","link":"https:\/\/www.sumologic.com\/de\/blog\/soc-analyst-agent-cuts-investigation-time","title":{"rendered":"Wie der SOC Analyst Agent die Untersuchungszeit von vier Stunden auf vierzehn Minuten reduziert"},"content":{"rendered":"\n
\n
\n
\n
\n
\"\"<\/figure>\n\n\n\n

<\/p>\n\n\n\n

4:37 Uhr morgens. Jemand versuchte, sich zum sechsten Mal in neunzig Sekunden in Sarah Chens Konto anzumelden.<\/p>\n\n\n\n

MFA-Fatigue-Kampagnen funktionieren nach einem einfachen Prinzip: Irgendwann tippt jemand auf \u201eGenehmigen\u201c, nur um die Benachrichtigungen zum Stoppen zu bringen. Es funktionierte. Der Angreifer war drin.<\/p>\n\n\n\n

Der erste Schritt war unauff\u00e4llig \u2013 SMS-Authentifizierung deaktivieren, eine kleine Einstellungs\u00e4nderung, die leicht zu \u00fcbersehen ist, wenn man eine lange Warteschlange hat, und genau das, was Raum zum Arbeiten schafft, ohne einen Alarm auszul\u00f6sen. Dann kam die eigentliche Arbeit: AWS-Anmeldedaten aus einem System, SSH-Schl\u00fcssel aus einem anderen und ein langsames und methodisches Abrufen von internem Quellcode.<\/p>\n\n\n\n

All das geschah, w\u00e4hrend Sarah schlief, w\u00e4hrend die Nachtschicht eine Warteschlange \u00fcberwachte, die dies noch nicht als dringend kennzeichnete, w\u00e4hrend niemand mit dem Kontext, um \u201eSMS deaktiviert\u201c mit \u201eAnmeldedaten abgerufen\u201c mit \u201eQuellcode zugegriffen\u201c zu verbinden, wach war, um es in Echtzeit zu sehen.<\/p>\n\n\n\n

Als die Sonne aufging, war es vorbei. Der Angreifer hatte, was er wollte.<\/p>\n\n\n\n

Schauen wir uns zwei M\u00f6glichkeiten an, wie dies ablaufen k\u00f6nnte.<\/p>\n\n\n\n

Die alte Methode: Vier Stunden Warteschlangen, Handoffs und Browser-Tabs<\/strong><\/h2>\n\n\n\n

4:39 Uhr morgens.<\/strong> Sumo Logic Cloud SIEM<\/a> korrelierte diese Ereignisse zu einem einzigen Insight.<\/p>\n\n\n\n

5:00 Uhr morgens.<\/strong> Das SOC-Team nimmt die Warteschlange auf, die diesen Alert und Dutzende andere enth\u00e4lt.<\/p>\n\n\n\n

5:21 Uhr morgens.<\/strong> Edwin, ein Analyst der Stufe eins, \u00f6ffnet den Alert und \u00fcberpr\u00fcft die Grundlagen: Hat sich dieses Konto von hier aus schon mal angemeldet? Hat MFA schon mal so reagiert? Nichts schlie\u00dft es aus, also geht es in den Stapel \u201egenauer ansehen\u201c, w\u00e4hrend der Analyst zum n\u00e4chsten Alert \u00fcbergeht.<\/p>\n\n\n\n

7:08 Uhr morgens.<\/strong> Am Vormittag ist es endlich an der Reihe, genauer hinzuschauen. Untersuchen bedeutet, zwischen Tools zu wechseln, die nicht miteinander kommunizieren: der Identit\u00e4tsanbieter f\u00fcr MFA-Verlauf, das SIEM f\u00fcr korrelierte Ereignisse, ein Chat-Tool, um zu \u00fcberpr\u00fcfen, was ein Dateiname tats\u00e4chlich sagte, und eine separate Suche f\u00fcr die beteiligten IPs. Der Analyst ist die Integrationsstufe. Sie kopieren Werte von einem Bildschirm, f\u00fcgen sie in einen anderen ein und verfolgen, was \u00fcbereinstimmt, von Hand. Nur das Ausschlie\u00dfen von \u201eder Benutzer hat sein Passwort einfach vergessen\u201c kann leicht eine Stunde dauern.<\/p>\n\n\n\n

Wenn die SMS-Authentifizierungs\u00e4nderung erkannt wird, und in einer vollen Warteschlange ist eine Einstellungs\u00e4nderung genau das, was durchrutscht, wird das Ticket normalerweise an Stufe zwei weitergeleitet. Ein Handoff, ein Warten auf Warteschlangen-Platz, dann Best\u00e4tigung der Exfiltration, Verfolgung, welche Anmeldedaten offengelegt wurden, und Verfassen des Incident Reports von Hand, gr\u00f6\u00dftenteils aus dem Ged\u00e4chtnis, was \u00fcberpr\u00fcft wurde und in welcher Reihenfolge.<\/p>\n\n\n\n

8:48 Uhr morgens.<\/strong> Mehrere Stunden, mehrere Handoffs und viele Browser-Tabs sp\u00e4ter ist die Untersuchung abgeschlossen. Der Job, richtig gemacht, dauert so lange. Genau deshalb gab es Triage: um sicherzustellen, dass nur die Alerts, die so viel Aufmerksamkeit \u00fcberstehen konnten, sie bekamen.<\/p>\n\n\n\n

KI f\u00fchrt uns direkt zur vollst\u00e4ndigen Untersuchung<\/strong><\/h2>\n\n\n\n

Erkennen, Triage, Untersuchen. Diese Pipeline f\u00fchrt seit einem Vierteljahrhundert Sicherheitsabl\u00e4ufe, aus einem einfachen Grund: tiefe Untersuchung war teuer, und Analysten waren knapp. Also baute die Branche einen schnellen Filter, um den teuren Schritt zu sch\u00fctzen. Das machte damals Sinn. Triage ist qualifizierte Arbeit, und die Ebenen und Warteschlangen, die um sie herum aufgebaut wurden, holten echten Wert aus der verf\u00fcgbaren Aufmerksamkeit.<\/p>\n\n\n\n

Aber Agenten werden um vier Uhr morgens nicht m\u00fcde, und sie gehen nicht am Ende einer Schicht aus. Die Knappheit, die Rationierung notwendig machte, ist weg. Also, als Sumo Logic seinen ersten KI-Agenten f\u00fcr das SOC baute, den SOC Analyst Agent<\/a>, zielten wir nicht darauf ab, die Triage zu beschleunigen. Wir wollten die Notwendigkeit daf\u00fcr beseitigen.<\/p>\n\n\n\n

Die DojoAI-Methode: Vier Minuten bis zum Urteil, vierzehn Minuten bis zum tieferen Verst\u00e4ndnis und einem Report<\/strong><\/h2>\n\n\n\n

4:39 Uhr morgens.<\/strong> Sumo Logic Cloud SIEM korrelierte diese Ereignisse zu einem einzigen Insight, und der SOC Analyst Agent begann automatisch mit seiner Untersuchung.<\/p>\n\n\n\n

Er arbeitet wie ein erfahrener Analyst: beginnend mit einer Hypothese, entscheidend, welche Erkl\u00e4rung zuerst getestet werden soll, dann nach Beweisen suchend, die sie ausschlie\u00dfen w\u00fcrden. Jeder Test wird gegen Ihre Daten und gegen das gemessen, was f\u00fcr dieses Konto normal ist. Erkl\u00e4rungen, die fehlschlagen, werden verworfen, und der Agent sagt Ihnen, welche fehlgeschlagen sind und warum. Das Urteil ist nicht die erste Geschichte, die zu den Fakten passt, sondern die, die noch steht, nachdem die anderen eliminiert wurden.<\/p>\n\n\n\n

Jeder wichtige Fund tr\u00e4gt seinen Beweis mit sich, sodass die Aussage \u00fcber die MFA-Deaktivierung direkt auf das Deaktivierungsereignis selbst verweist. Was passiert ist, wird regeneriert, wenn Signale hinzugef\u00fcgt oder entfernt werden, sodass sich die Geschichte bewegt, wenn sich die Beweise bewegen.<\/p>\n\n\n\n

4:43 Uhr morgens.<\/strong> In weniger als f\u00fcnf Minuten erreichte der SOC Analyst Agent<\/a> ein Urteil: Die Aktivit\u00e4t war b\u00f6sartig.<\/p>\n\n\n\n

Edwin k\u00f6nnte die Untersuchung jetzt beenden, entscheidet sich aber stattdessen, ein paar zus\u00e4tzliche Minuten zu nehmen, um die Ergebnisse des Agenten zu \u00fcberpr\u00fcfen, ein wenig tiefer zu graben und einen Report zu erstellen.<\/p>\n\n\n\n

4:45 Uhr morgens.<\/strong> Zuerst das Wichtigste: den Explosionsradius verstehen.<\/p>\n\n\n\n

Edwin, der zugewiesene Analyst, klickt auf Mobot<\/a>, um tiefer einzusteigen. Der Kontext ist bereits geladen, daher setzt er dort an, wo der Agent aufgeh\u00f6rt hat, nicht am Anfang.<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Bevor er etwas fragt, schaut sich Edwin an, was der Agent bereits getan hat, und \u00fcberfliegt die ausgef\u00fchrten Abfragen und die dahinter stehenden Daten. Er k\u00f6nnte sie bearbeiten oder erneut ausf\u00fchren, entschlie\u00dft sich aber stattdessen, eine neue Suche zu starten.<\/p>\n\n\n\n