Agentic SOC
Zscaler Agentic SOC verbindet KI-Agenten, Zero Trust und automatisierte Incident Response
Zscaler automatisiert das Security Operations Center
KI verändert nicht nur die Werkzeuge der Verteidiger, sondern zunehmend auch Tempo, Skalierbarkeit und Anpassungsfähigkeit von Cyberangriffen. Klassische SOC-Prozesse geraten damit unter Druck: Wenn Analysten Angriffe erst manuell korrelieren, untersuchen und priorisieren müssen, kann der entscheidende Vorsprung bereits verloren sein. Mit Zscaler Agentic SOC will Zscaler deshalb Security Operations stärker automatisieren und KI-Agenten direkt in Erkennung, Analyse und Reaktion einbinden.
Zscaler hat mit Agentic SOC eine neue Plattform für Security Operations vorgestellt, die Risikomanagement, Threat Detection, Investigation und Response enger miteinander verzahnen soll. Im Mittelpunkt stehen spezialisierte KI-Agenten, die Sicherheitsvorfälle analysieren, Angriffspfade bewerten und Reaktionsmaßnahmen automatisiert anstoßen können.
Der Ansatz unterscheidet sich damit von klassischen Erweiterungen bestehender SOC-Stacks um einzelne KI-Funktionen. Zscaler positioniert Agentic SOC vielmehr als AI-first-Architektur, bei der agentenbasierte Automatisierung bereits Bestandteil der operativen Sicherheitsprozesse ist.
KI erhöht den Zeitdruck im SOC
Hintergrund ist eine Bedrohungslandschaft, in der Angreifer zunehmend auf Automatisierung und KI zurückgreifen. Nach Beobachtungen des ThreatLabz-Teams von Zscaler werden zugleich verstärkt Techniken eingesetzt, die klassische Erkennungsmechanismen umgehen sollen.
Dazu gehören beispielsweise der Missbrauch vertrauenswürdiger Websites, legitimer Remote-Management-Werkzeuge sowie browserbasierte Angriffstechniken.
Das Problem für Security Operations Center liegt dabei nicht ausschließlich in der Zahl der Angriffe. Entscheidend ist vor allem ihre Geschwindigkeit. Während ein menschliches SOC-Team unterschiedliche Signale zunächst zusammenführen und bewerten muss, können automatisierte Angriffe mehrere Angriffsschritte innerhalb kürzester Zeit durchlaufen.
Agentic SOC soll diese Lücke verkleinern, indem Analyse und Reaktion stärker automatisiert werden.
Zero-Trust-Telemetrie als Datenbasis
Eine zentrale Grundlage bildet die umfangreiche Telemetrie der Zscaler-Plattform. Nach Unternehmensangaben verarbeitet die Infrastruktur täglich rund 750 Milliarden Zero-Trust-Transaktionen. Daraus entstehen Informationen über unter anderem:
- Netzwerkaktivitäten,
- Identitäten,
- Endgeräte,
- Cloud-Umgebungen und
- KI-Nutzung.
Diese Daten werden mit Informationen aus Drittanbieter-Systemen sowie Threat Intelligence zusammengeführt.
Ein sogenannter Kontextgraph soll daraus Beziehungen zwischen Nutzern, Geräten, Anwendungen, Angriffstechniken und Sicherheitsereignissen ableiten. Ziel ist es, einzelne Warnmeldungen nicht isoliert zu betrachten, sondern komplette Angriffspfade sichtbar zu machen.
Spezialisierte KI-Agenten übernehmen SOC-Aufgaben
Im Zentrum des Konzepts stehen spezialisierte KI-Agenten. Sie sollen definierte Aufgaben innerhalb des SOC-Workflows übernehmen.
Dazu gehören beispielsweise die Triage von Warnmeldungen, Ursachenanalysen, Risikobewertungen oder das Starten von Response-Workflows.
Zscaler zufolge basieren diese Agenten auf mehr als zehn Jahren Erfahrung aus SOC-Betrieb, Managed Detection and Response sowie Threat Hunting. Zusätzlich fließen Bedrohungsinformationen aus Kundenumgebungen in die Modelle ein.
Damit verfolgt Zscaler einen Trend, der sich derzeit im gesamten Security-Markt abzeichnet: KI soll Analysten nicht lediglich bei einzelnen Analyseschritten unterstützen, sondern zunehmend komplette Teilprozesse eines SOC autonom durchführen.
Partnerschaften mit OpenAI und Anthropic
Für die zugrunde liegenden KI-Funktionen arbeitet Zscaler unter anderem mit OpenAI und Anthropic zusammen.
Die Modelle der Anbieter werden mit proprietären Threat-Intelligence-Daten und Zero-Trust-Telemetrie kombiniert. Dadurch sollen die Agenten nicht nur schneller arbeiten, sondern ihre Entscheidungen auch besser mit konkretem Sicherheitskontext begründen können.
Deepen Desai, Executive Vice President Cybersecurity bei Zscaler , sieht darin einen grundlegenden Wandel des Sicherheitsbetriebs: „KI-gesteuerte Angriffe entwickeln sich schneller, als es traditionelle SOC-Modelle jemals bewältigen können.“
Agentenbasierte Fähigkeiten sollen deshalb helfen, Sicherheitslücken frühzeitig zu reduzieren und menschliche Analysten gezielter einzusetzen.
Closed-Loop Response soll Angriffe automatisch eindämmen
Entscheidend wird bei Agentic SOC jedoch nicht allein die Analyse sein. Zscaler verbindet die Erkennung direkt mit seinen Zero-Trust-Kontrollen. Dadurch können Reaktionsmaßnahmen automatisiert ausgelöst werden.
Zu den möglichen Maßnahmen gehören beispielsweise die Isolation kompromittierter Nutzer, die Blockierung von Command-and-Control-Kommunikation sowie die Einschränkung lateraler Bewegungen innerhalb einer Umgebung. Zusätzlich lassen sich bestehende Sicherheitswerkzeuge von Drittanbietern integrieren.
Damit entsteht ein sogenannter Closed-Loop-Ansatz: Erkennen, analysieren, entscheiden und reagieren sollen möglichst innerhalb eines automatisierten Regelkreises stattfinden.
Menschliche Analysten bleiben Bestandteil des Modells
Trotz des hohen Automatisierungsgrads setzt Zscaler nicht ausschließlich auf autonome Systeme.
Kontinuierliches Threat Hunting und die Unterstützung durch Sicherheitsexperten von Zscaler und Red Canary sollen die automatisierten Analysen ergänzen.
Gerade bei komplexen Angriffen dürfte dieses Zusammenspiel entscheidend bleiben. KI kann enorme Datenmengen analysieren und Hypothesen schneller erstellen. Die Bewertung ungewöhnlicher Angriffsmuster, geschäftlicher Auswirkungen oder widersprüchlicher Indikatoren erfordert jedoch weiterhin menschliches Fachwissen.
Vom Alert Management zum autonomen Security Operations Center
Die eigentliche Bedeutung von Agentic SOC liegt deshalb weniger in einem weiteren KI-Feature als in einer möglichen Verschiebung der SOC-Architektur.
Traditionelle Security Operations sind häufig noch stark alert-zentriert: Systeme erzeugen Meldungen, Analysten priorisieren sie und leiten anschließend Maßnahmen ein.
Agentenbasierte SOC-Modelle drehen diesen Ablauf zunehmend um. Systeme sollen Angriffszusammenhänge selbstständig erkennen, Hypothesen überprüfen, Entscheidungen vorbereiten und gegebenenfalls unmittelbar Gegenmaßnahmen auslösen.
Für Unternehmen könnte das langfristig eine deutlich stärkere Automatisierung der Security Operations bedeuten. Gleichzeitig steigt damit jedoch auch die Bedeutung von Governance, nachvollziehbaren Entscheidungen und klar definierten Grenzen für autonome Reaktionen.
Denn je mehr operative Befugnisse KI-Agenten erhalten, desto wichtiger wird die Frage, welche Entscheidungen ein Agent eigenständig treffen darf – und wann ein Mensch eingreifen muss. Zscaler Agentic SOC ist nach Angaben des Unternehmens ab sofort weltweit verfügbar.
