Victrix' einmonatige SOAR-Ersatzgeschichte mit Swimlane

Wir haben unser SOAR-System innerhalb eines Monats ausgetauscht. Hier ist die ehrliche Geschichte, warum wir das getan haben und was danach geschah.

Ich möchte gleich zu Beginn ehrlich sein: Was ich Ihnen nun schildern werde, begann nicht als Erfolgsgeschichte.

Es begann mit einem Sieg. Victrix'SEvOC, die verwaltetes SOC Ich kandidierte in Quebec und gewann eine wichtige Ausschreibung. Fünfundvierzig neue Kunden im halböffentlichen Sektor – und das alles auf einmal. Hunderttausende neue Endgeräte, die es zu schützen galt. Genau dieses Wachstum hatten wir uns erhofft.

Dann kam die Frage, die noch niemand vollständig beantwortet hatte: Wie können wir all diesen Menschen tatsächlich gerecht werden?

Wir konnten nicht zwanzig neue Analysten einstellen. Das war nie der Plan. Der Plan war, unsere Skalierung mithilfe von SOAR zu automatisieren. Und genau das haben wir getan. Beschränkte Optionen: Wir benötigen eine kanadische Datenresidenz. Wir haben in eine solche investiert und sie implementiert. Wir haben uns zum Ziel gesetzt, innerhalb des ersten Jahres mindestens 201.030 Tonnen unserer eingehenden Tickets zu automatisieren.

Am Ende des Jahres musste ich meiner Führungsebene etwas Unangenehmes mitteilen: Wir hatten unser Ziel verfehlt. Nicht etwa, weil das Team nicht hart gearbeitet hätte, sondern weil die Plattform für uns nicht funktionierte.

Ich sage das nicht, um jemanden bloßzustellen. Jeder Anbieter hat mit Anlaufschwierigkeiten zu kämpfen. Aber wenn Ihre Analysten aktiv einen Bogen um Ihr SOAR-System machen, weil es zu fehlerhaft ist, um ihm zu vertrauen, dann ist das kein Produktproblem, das Sie ignorieren können. Das ist ein Warnsignal.

Also begannen wir erneut zu suchen.

Die 3 Anforderungen, bei denen wir keine Kompromisse eingehen konnten

Als wir uns schließlich zum Wechsel entschlossen, wussten wir genau, was wir brauchten. 

#1: Produktionsreife KI  

In die Plattform integriert. Nicht in einer Roadmap angekündigt. Kein zusätzliches Tool neben SOAR. KI, die in die Playbooks eingebettet ist und die Untersuchung und Korrelation übernimmt, die unsere Analysten überfordert hat. Unser vorheriger Anbieter hatte dies versprochen. Wir haben es nie produktiv gesehen.

#2: Kanadischer Datenwohnsitz

Dies ist für uns zwingend erforderlich. Die Daten unserer Kunden verbleiben in Kanada. Diese Vorgabe schloss viele Optionen aus und war ehrlich gesagt der Grund, warum wir uns beim ersten Mal nicht für Swimlane entschieden haben. Swimlane war tatsächlich ein Jahr zuvor unsere erste Wahl. Damals hatten sie aber noch keinen kanadischen Mieter, weshalb wir uns anderweitig umgesehen haben.

#3: Ein Partner, der MSSPs versteht und unterstützt

Ein Managed-Security-Anbieter ist nicht dasselbe wie ein Unternehmen mit einem einzigen internen SOC. Wir betreuen Dutzende von Kundenumgebungen, Dutzende verschiedener Tool-Stacks und benötigen eine Plattform, die dieser Komplexität gerecht wird. Das vorherige Support-Team hat das nie wirklich verstanden.

Der Anruf, der alles veränderte

Etwa sechs Monate nachdem wir mit der Suche begonnen hatten, meldete sich Swimlane. Sie hatten ein kanadisches Mieterprojekt realisiert. Ob wir noch Interesse hätten?

Ich zögerte nicht. Ich wusste, was zu tun war. Ich musste meine Führungsebene davon überzeugen, dass wir das SOAR-System, an dem wir gerade ein Jahr lang gearbeitet hatten, komplett neu aufbauen, alles migrieren und das Ganze schnellstmöglich erledigen sollten. Das war kein leichtes Gespräch. Aber ich war davon überzeugt und habe meine Argumente vorgetragen.

Dann kam der Teil, auf den ich wirklich nicht vorbereitet war.

Warum es diesmal anders war 

Das Swimlane-Team arbeitete die ganze Zeit parallel mit uns. Während sie unsere Integrationen und Workflows neu aufbauten, absolvierte mein Team Schulungen. Wir erstellten gemeinsam Playbooks. Swimlane überprüfte diese und gab uns das Feedback: „Alles klar, weiter so!“ Es war eine völlig neue Art der Zusammenarbeit. Nicht einfach nur ein Anbieter, der uns Dokumentationen aushändigte und uns viel Glück wünschte. Sondern eine echte Partnerschaft.

“Wenn wir dafür Tage, Nächte und Wochenenden durcharbeiten müssen”, sagte mein Team zu mir, “dann machen wir das.” Und sie meinten es ernst. Die Dynamik rund um diese Migration war unvergleichlich. Alle wollten wechseln.

Was uns sofort auffiel

Als Erstes fiel mir die Akzeptanz auf. Jeder Analyst, der zuvor unser SOAR-System umgangen und manuell gearbeitet hatte, nutzte nun Turbine. Ausnahmslos. Vom ersten Tag an. Das allein zeigte mir etwas Wichtiges: Wenn ein Tool wirklich gut ist, muss man die Leute nicht dazu zwingen, es zu benutzen.

Der zweite Punkt betraf die Integrationen. Bei unserer vorherigen SOAR-Lösung erforderte jedes Tool in jeder Kundenumgebung eine separate Integration. Mit Turbine erstellen wir nun ein einziges Playbook und einen Konnektor für eine EDR-Kategorie. Dieses Playbook wird für Microsoft Defender, CrowdStrike oder SentinelOne ausgeführt. Die Logik ist dieselbe, nur der Konnektor ist unterschiedlich. Zusätzlich haben wir eine Azure-Unternehmensanwendung entwickelt, die die gesamte Berechtigungsverwaltung für unsere Kunden zentralisiert. Diese Kombination ist so reibungslos, wie ich es vorher noch nicht erlebt habe.

Der dritte Punkt war die KI. Und auf diesen Teil möchte ich kurz eingehen, denn er ist wichtig.

Die KI, die tatsächlich tut, was sie sagt.

Wir haben damit begonnen, die KI von Swimlane in unsere Vorgehensweisen zu integrieren. Die KI übernimmt die Untersuchung. Sie korreliert Signale, analysiert die Warnmeldung und erläutert dem Analysten ihre Schlussfolgerung in verständlicher Sprache. Der Analyst liest sie, trifft die Entscheidung und schließt den Fall ab. Was früher eine Stunde sorgfältiger manueller Arbeit in Anspruch nahm, dauert jetzt nur noch Minuten.

Ich verfolge jeden Fall, in dem die KI eine Empfehlung ausspricht. Ich möchte wissen, wie oft der Analyst dieser Empfehlung zustimmt.

Bisher: hundertprozentig.

Bei jeder einzelnen Empfehlung, die Turbine in der Produktion ausgesprochen hat, ist der Analyst unabhängig zum selben Schluss gekommen. 

Ich bin noch nicht bereit zu sagen, dass die KI die Kontrolle vollständig übernimmt. Wir befinden uns noch in der Phase, in der Menschen jede Entscheidung bestätigen. Das ist momentan die richtige Vorgehensweise. Sobald jedoch ein Falltyp über einen ausreichend langen Zeitraum dokumentiert ist, werden wir die KI ihn ohne Freigabe durch Analysten abschließen lassen. Dieser Übergang steht bevor. Die Daten sprechen dafür.

Wohin wir gehen

Innerhalb von sechs Monaten plane ich, die Analysten des Teams 50% vollständig von der Level-1-Tätigkeit zu entlasten. Wir werden sie nicht entlassen, sondern ihnen strategischere und interessantere Aufgaben übertragen. Sie sollen Level-2- und Level-3-Verantwortlichkeiten übernehmen. Sicherheitsprojekte. Bedrohungsanalyse. Aufgaben, die tatsächlich menschliches Denken erfordern, nicht nur die Bestätigung von Softwareergebnissen durch einen Menschen.

Wir planen außerdem, den Einsatz von Turbine auszuweiten. Schwachstellenmanagement ist Teil unserer Roadmap. Das Reporting wird angepasst. Das Ticketsystem wird voraussichtlich vollständig in Swimlane integriert. Wir bauen bei Victrix eine umfassendere Cybersicherheitsplattform auf, und Turbine spielt dabei eine zentrale Rolle. 

Ein Ratschlag, falls Sie sich in unserer damaligen Lage befinden

Wenn Sie als MSSP eine SOAR-Lösung betreiben, bei der Ihre Analysten eher umgangen als genutzt werden, sollten Sie das ernst nehmen. Das ist kein Schulungsproblem, sondern ein Plattformproblem.

Und falls Sie Alternativen evaluieren, rate ich Ihnen Folgendes: Wählen Sie einen Anwendungsfall. Etwas, das Ihre Analysten täglich Zeit kostet. E-Mail-Phishing-Analyse. Anreicherung von Warnmeldungen. Etwas Konkretes. Fordern Sie einen Proof of Concept genau für diesen einen Anwendungsfall an. Beobachten Sie, was Turbine in ein paar Wochen damit macht.

Die Mathematik wird Ihnen die Entscheidung abnehmen.