SOC-teams moeten AI inzetten om sneller kwetsbaarheden te detecteren en te onderzoeken, voordat aanvallers misbruik maken van logische fouten.
De meeste Security Operations Centers (SOC) starten een onderzoek pas nadat een dreigingsmelding is afgegeven. Analisten beoordelen de melding, verzamelen context en beginnen dan met het onderzoek, wat betekent dat er al een incident heeft plaatsgevonden. Dit model was geschikt toen aanvallers nog op menselijke snelheid opereerden en vooral gebruikmaakten van bekende kwetsbaarheden.
Tegenwoordig verandert dit snel door twee ontwikkelingen die het werk van SOC-teams fundamenteel beïnvloeden. Organisaties ontwikkelen steeds meer maatwerksoftware, mede dankzij AI-ondersteunde ontwikkeling, waardoor applicaties sneller worden gebouwd. Deze applicaties kunnen logische kwetsbaarheden bevatten, zoals gebroken autorisatie en authenticatie-omzeilingen, die niet door traditionele signature-based scanners worden gedetecteerd. Tegelijkertijd gebruiken aanvallers AI om sneller te opereren. Met geavanceerde AI-modellen scannen zij netwerken, vinden ze blootgestelde applicaties en exploiteren kwetsbaarheden binnen uren in plaats van maanden. AI verlaagt ook de drempel voor aanvallers, waardoor zij op grotere schaal maatwerkapplicaties kunnen testen op zwakheden.
Voor SOC betekent dit dat het eerste teken van een logische fout vaak al een succesvolle inbraak is. Wanneer een detectie afgaat, heeft de aanvaller zich al toegang verschaft. Verdediging op menselijke snelheid kan niet op tegen AI-gestuurde aanvallen. De enige manier om bij te blijven is AI inzetten tegen AI: kwetsbaarheden vinden voordat aanvallers dat doen en onderzoeken uitvoeren op AI-snelheid zodra er een incident is. Dit is essentieel voor incidentrespons in het AI-tijdperk en om te zorgen dat SOC-teams adequaat kunnen reageren.
Volgens Gartner zal proactief en continu beheer van dreigingsblootstelling met offensieve tests de SOC-operaties domineren, omdat reactieve detectie steeds minder oplevert. Voor SOC betekent dit dat gevalideerde, exploiteerbare kwetsbaarheden als daadwerkelijke aanvalspaden moeten worden behandeld met dezelfde urgentie als actieve dreigingen. In het AI-tijdperk is het slechts een kwestie van tijd voordat aanvallers deze vinden.
Wiz ontwikkelde twee AI-agents die samenwerken om dit mogelijk te maken. De Red Agent is een AI-gestuurde penetratietester die continu exploiteerbare risico’s op het aanvalsvlak vindt en valideert, en deze rapporteert als pre-breach meldingen voor SOC-teams. De Blue Agent ondersteunt analisten bij het onderzoeken van actieve dreigingen met volledige context over cloud, code en runtime, zodat snel een betrouwbaar oordeel kan worden gevormd.
De Red Agent helpt SOC-teams om complexe en gevalideerde risico’s te ontdekken en te verhelpen voordat aanvallers ze kunnen misbruiken. Dit omvat bekende risico’s zoals CVE’s en misconfiguraties, maar ook onbekende logische kwetsbaarheden in maatwerkapplicaties die traditionele scanners missen. Elk risico dat de Red Agent vindt, is een potentiële tijdbom; het exploit werkt al bewezen, waardoor het alleen nog een kwestie is van wie er eerst bij is: het beveiligingsteam of de aanvaller. Dit vereist een aanpak met pre-breach urgentie, niet een plek in een lange backlog.
