Security Operations Center (SOCs) stehen heute unter hohem Druck: täglich entstehen Millionen von Security-Events aus Endpoints, Cloud-Workloads, Netzwerkkomponenten, Identitätsdiensten und Business-Anwendungen. Gleichzeitig erwarten Unternehmen, dass Teams auch bei komplexen Angriffen zuverlässig erkennen, priorisieren und reagieren. Genau hier setzen Wazuh und AI an: als Unterstützung, die Analysen beschleunigt und Ermittlungen mit Kontext versieht.
Die Idee ist nicht, menschliche Expertise zu ersetzen. Stattdessen helfen KI-gestützte Workflows dabei, wiederkehrende Schritte zu reduzieren, Zusammenhänge besser sichtbar zu machen und konkrete nächste Maßnahmen vorzuschlagen. So bleibt die Verantwortung für Validierung und Entscheidungen weiterhin bei den Security-Analysten.
Warum moderne SOCs KI-gestützte Workflows brauchen
Moderne Bedrohungen entwickeln sich schnell, und SOC-Teams müssen parallel große Datenmengen verarbeiten. Ein häufiges Problem: Die Alarmflut sorgt für Ermüdung bei Analysten und erhöht die Wahrscheinlichkeit, dass relevante Ereignisse übersehen werden. Außerdem erfordert eine Untersuchung oft das Springen zwischen Dashboards, Dokumentationen, Schwachstellen-Datenbanken und Threat-Intelligence-Quellen, bis sich ein vollständiges Bild ergibt.
Hinzu kommt die verteilte IT-Landschaft: On-Premises-Umgebungen und Cloud-Ressourcen wachsen zusammen, wodurch eine konsistente Sicht auf den Sicherheitsstatus schwieriger wird. KI-gestützte Workflows können genau in diesen Phasen entlasten – etwa durch Kontext, Zusammenfassungen und schnellere Entscheidungsunterstützung im Verlauf der Incident Response.
Wazuh und AI: flexible Wege zur Integration
Wazuh adressiert die KI-Anforderung mit einem Ansatz, der sowohl einen komfortablen Einstieg als auch individuelle Anpassungen ermöglicht. Dazu gehören der Wazuh AI Analyst in der Wazuh Cloud sowie Integrationen mit externen bzw. eigen betriebenen KI-Providern. Damit können Organisationen den Grad der Automatisierung und den Umgang mit Daten selbst ausbalten.
Unabhängig davon, ob Sie Wazuh Cloud nutzen oder Wazuh selbst hosten: Ziel ist, aus vorhandenen Sicherheitsdaten verwertbare Erkenntnisse zu erzeugen, ohne dass Analysten dauerhaft manuell Informationen suchen und zusammenführen müssen.
Der Wazuh AI Analyst in der Wazuh Cloud
Für Wazuh-Cloud-Abonnements gibt es den Wazuh AI Analyst. Er ist als automatisierter Service konzipiert, der keine manuelle Konfiguration durch das Team erfordert. Die Sicherheitsdaten werden dabei verarbeitet und in Form von Insights zurückgespielt – inklusive strukturierter Inhalte, die sich für Planung und Nachverfolgung eignen.
Konkret generiert der AI Analyst regelmäßig E-Mails mit relevanten Indikatoren: Dazu gehören unter anderem Histogramme geschützter Endpoints, Informationen zum Alarmvolumen, aktive Schwachstellen sowie eine Security-Posture-Zusammenfassung. Zusätzlich wird ein PDF-Bericht als Anhang bereitgestellt.
Die Berichte werden auf dem vorgesehenen Zeitplan der jeweiligen Wazuh-Cloud-Subscription erstellt und an die registrierte E-Mail-Adresse versendet. Alternativ können Sie die Inhalte auch direkt im Wazuh-Cloud-Console-Interface einsehen – im Bereich Environments > AI Reports.
Datenschutz und Ergebnisqualität: wichtig zu wissen
Beim Thema Datenschutz wird explizit betont, dass Subscription-Daten nicht an Dritte weitergegeben werden. Außerdem werden sie nicht zum Training von KI-Modellen genutzt. Die Verarbeitung erfolgt ausschließlich zur Erstellung der Reports. Dabei wird die Übertragung verschlüsselt und die Verarbeitung wird isoliert durchgeführt; eine dauerhafte Speicherung ist nicht vorgesehen.
Wie bei jedem KI-Ausgabeformat gilt: Die Empfehlungen sind beratend. Teams sollten sie vor Umsetzung gegen die eigenen Richtlinien und Sicherheitsstandards prüfen. So bleibt die Entscheidungsgewalt dort, wo sie hingehört: bei den Verantwortlichen im SOC.
Threat Hunting und Security Operations mit externen KI-Integrationen
Über den Wazuh AI Analyst hinaus lässt sich die Wazuh-Funktionalität erweitern. Gerade im Threat-Hunting-Umfeld kann eine KI zusätzliche Unterstützung liefern, etwa indem sie Logdaten strukturiert zusammenfasst oder einen interaktiven Analyse-Chat ermöglicht. Entscheidend ist dabei, welche Daten wohin fließen – und wie eng die Lösung an Ihre Privatsphäre- und Data-Residency-Anforderungen angepasst werden soll.
Im Wazuh-Kontext werden dazu zwei Wege beschrieben: eine Lösung mit eigen gehostetem LLM sowie eine extern verwaltete Integration mit einem in der Cloud gehosteten Modell.
Eigen gehostet: Llama 3 mit Ollama
Wenn Sie alles innerhalb Ihres Netzwerks halten wollen, kommt eine Kombination aus Ollama und dem Llama-LLM zum Einsatz. Dabei läuft Ollama lokal auf dem Wazuh-Server und verwendet das Meta Open-Source-Llama-Modell.
Für die Analyse wird ein Python-Skript genutzt, um archivierte Logs für einen ausgewählten Zeitraum zu entpacken. Anschließend werden die Inhalte vektorisiert und in einem FAISS-Store abgelegt. Auf dieser Basis bietet eine über LangChain gesteuerte Chat-Komponente ein Abfrage-Interface: Analysten können Fragen stellen und erhalten kontextbezogene Antworten aus dem bereitgestellten Logmaterial.
Ein zentraler Vorteil: Es werden keine Daten an einen Cloud-Anbieter gesendet. Damit eignet sich dieser Ansatz besonders für Teams mit strengen Anforderungen an Datenschutz oder Datenverbleib.
Die vollständigen Einrichtungsdetails sind in einem Wazuh-Blogbeitrag beschrieben, der die Nutzung von KI für Threat Hunting in Wazuh erläutert.
Extern verwaltet: Claude 3.5 Haiku über Amazon Bedrock
Für Teams, die lieber mit einem extern gehosteten Modell arbeiten möchten, wird eine Integration mit Claude 3.5 Haiku beschrieben. Dieses Modell wird über Amazon Bedrock bereitgestellt und im Dashboard über die OpenSearch Assistant-Funktion sichtbar gemacht – als Chat-Element.
Die Einrichtung umfasst das Aktivieren des Modells in Bedrock sowie das Installieren der entsprechenden OpenSearch-Plugins. Zusätzlich wird ein ML Commons Connector, das Modell und ein konversationsfähiger Agent erstellt.
Der Assistant soll bei vielen typischen Aufgaben unterstützen können – einschließlich Hinweise, was nach einer bestimmten Findings-Analyse zu tun ist, und welche Einstellungen relevant sind. Damit wird die Untersuchung nicht nur schneller, sondern auch stärker geleitet.
Auch hier werden die Schritte detailliert in einem separaten Wazuh-Blogbeitrag dokumentiert, der sich auf LLM-basierte Insights im Wazuh-Dashboard konzentriert.
Wie KI im SOC konkret hilft: von Triage bis Antwort
In der Praxis entfaltet Wazuh und AI seinen Nutzen besonders dann, wenn Analysten Zeit sparen müssen, ohne den Überblick zu verlieren. KI-unterstützte Workflows können helfen, Kontext zu liefern, Befunde zusammenzufassen und mögliche nächste Schritte vorzuschlagen.
Das ist vor allem wertvoll in Phasen, in denen viel manuell zusammengetragen werden muss: bei der Bewertung von Alarmen, der Einordnung von Schwachstellen und dem Abgleichen von Indikatoren. Statt lange in Dokumentationen zu suchen, können Teams schneller auf strukturierte Informationen zugreifen und ihren nächsten Schritt vorbereiten.
Wichtig ist dabei die Rollenverteilung: Die KI kann beschleunigen und ordnen, doch die endgültige Prüfung und Entscheidung bleibt beim Menschen. Genau dadurch lässt sich der SOC-Betrieb effizienter gestalten, ohne Kontrolle zu verlieren.
Fazit: KI macht Wazuh zum stärkeren SOC-Begleiter
Wazuh und AI zeigen, wie Security-Teams KI sinnvoll einsetzen können: nicht als Ersatz für Analysten, sondern als Unterstützung für wiederkehrende Tätigkeiten, beschleunigte Ermittlungen und bessere kontextuelle Einordnung. Besonders für SOCs mit hoher Alarmrate und komplexen Umgebungen kann das den Unterschied machen.
Mit der Wazuh Cloud liefert der Wazuh AI Analyst regelmäßige, automatisierte Sicherheitsberichte zu zentralen Indikatoren. Wer mehr Kontrolle über Datenflüsse benötigt, kann zusätzlich auf eigen gehostete LLM-Setups setzen oder extern gehostete Modelle über passende Integrationen einbinden. So lässt sich die KI-Nutzung an operative Anforderungen, Datenschutzkriterien und die bevorzugte Datenstrategie anpassen.
Quelle: https://thehackernews.com/2026/08/wazuh-and-ai-for-enhanced-soc-workflows.html
