Menschliche Freigaben für Security-Agenten
Eindämmung braucht eine Entscheidung. Nicht nur einen Alarm.
Der diensthabende Analyst gibt die Maßnahme auf seinem Handy frei. Die Entscheidung bleibt dem Vorfall zuordenbar.
Wie bekommt ein SOC-KI-Agent eine Freigabe für eine Eindämmungsmaßnahme?
Mit Pushary fragt dein SOC-Agent den zuständigen Analysten auf seinem Handy. Setze einen Aufruf vor die Host-Isolierung, Kontosperrung oder Blockierung. Die Person gibt auf dem Sperrbildschirm frei oder lehnt ab. Dein Agent wartet auf die Antwort statt allein auf einen Sicherheitswert zu reagieren. Ohne rechtzeitige Antwort läuft die Maßnahme nicht. Jede Entscheidung wird für die Vorfallsakte gespeichert.
Was eine Freigabe braucht
Diese Aufrufe brauchen eine bewusste Entscheidung
- isolateHost(hostId)
- Ein Host vom Netz zu trennen stoppt möglicherweise den Angriff, aber auch seine legitime Nutzung. Beim falschen System verursacht das selbst einen Vorfall.
- disableAccount(userId)
- Eine falsche Kontosperrung unterbricht die Arbeit einer echten Person sofort und führt zu zusätzlichen Supportfällen.
- blockIndicator(type, value)
- Eine gemeinsam genutzte IP-Adresse oder Domain zu blockieren kann unbeteiligte Dienste mit abschalten.
- revokeSessions(userId)
- Alle Sitzungen zu widerrufen kann bei gestohlenen Zugangsdaten richtig sein. Bei einem Fehlalarm trifft es die falsche Person. Diese Abwägung gehört zum Analysten.
Der Code
Ein Aufruf im bestehenden Arbeitsschritt
Sichere die einzelne Aktion ab, nicht den ganzen Agenten. Unkritische Aufgaben laufen weiter, ohne jemanden zu fragen.
pip install pusharyimport os
from pushary import PusharyServer
px = PusharyServer(api_key=os.environ["PUSHARY_API_KEY"])
def contain(alert, action):
# Enrichment and evidence collection never wait for anyone.
context = enrich(alert)
if action.reversible and context.confidence > 0.95:
return apply(action)
decision = px.decisions.ask(
external_id=alert.duty_analyst_id,
type="confirm",
question=(
f"{action.summary} on {action.target}? "
f"Confidence {context.confidence:.0%}. Impact: {action.user_impact}."
),
)
if not decision["approved"]:
return annotate(alert, "containment not authorized")
return apply(action)Wer entscheidet
Entscheiden, auch ohne am Schreibtisch zu sitzen
Es entscheidet der diensthabende Analyst, außerhalb der Bürozeiten oft eine einzelne Person. Ein Chat mit Freigabeschaltfläche hilft tagsüber. Um drei Uhr morgens liest womöglich niemand mit. Pushary erreicht das Handy der Person, die dein Dienstplan über ihre Nutzer-ID bestimmt.
Gibt das Warten auf einen Menschen dem Angreifer nicht mehr Zeit?
Manchmal. Entscheide deshalb pro Maßnahme, nicht pauschal pro Vorfall. Kontext sammeln, Beweise sichern und klar rückgängig zu machende Schritte können sofort laufen und später geprüft werden. Frage bei Maßnahmen nach, deren falsche Ausführung selbst einen schweren Schaden verursacht: einen produktiven Host isolieren, ein wichtiges Konto sperren oder einen gemeinsam genutzten Dienst blockieren. Hier verschiebt ein reiner Sicherheitswert das Ausfallrisiko nur. Eine mobile Anfrage soll die zuständige Person schnell erreichen. Eine bestimmte Antwortzeit ist damit nicht garantiert. Verstreicht die Frist, läuft die abgesicherte Maßnahme nicht und der Verlauf hält den Ablauf fest.
Zum Weiterlesen: NIST SP 800-61 zur Bearbeitung von IT-Sicherheitsvorfällen.
Baue es in dein Produkt ein. Deine Nutzer brauchen kein Pushary-Konto und zahlen nichts an uns.
Häufige Fragen
Antworten auf deine Fragen
Können sichere Erkennungen automatisch laufen und andere eine Freigabe brauchen?
Ersetzt das unser Alarmierungssystem?
Wie sieht der spätere Vorfallsnachweis aus?
Was passiert, wenn der Analyst die Anfrage übersieht?
Menschliche Freigaben für weitere Produkte
Lass Menschen entscheiden, wo es nötig ist.
Verbinde jeden Nutzer einmal. Frage mit einem Aufruf nach und führe die Aktion nur bei einem Ja aus. Jede Antwort wird gespeichert.
Start free