Elastic introduceert AlertZero, een agentic laag in Elastic Security. Gespecialiseerde AI-agents nemen triage, threat hunting, detectietuning en forensisch onderzoek voor hun rekening. Analisten bepalen zelf hoeveel werk ze uit handen geven. AlertZero werkt met elk model, in elke deployment.
Waar analisten nu duizenden ruwe alerts voor hun kiezen krijgen, moet straks een korte lijst met aanbevolen acties overblijven. Elke alert krijgt een antwoord dat met bewijs is onderbouwd. De agents leren daarbij van de manier waarop een securityteam al werkt en passen zich daarop aan.
Elastic wijst op een bekend knelpunt. Het aantal alerts groeit harder dan het aantal analisten dat ze kan verwerken. False positives maken de wachtrij alleen maar langer. Aanvallers die AI inzetten, maken het niet eenvoudiger.
Vier Watches met elk een eigen taak
AlertZero organiseert het werk rond zogeheten Watches: benoemde groepen agents met vaste verantwoordelijkheden, die draaien op triggers en schema’s. Hun bevindingen komen samen in een gedeeld onderzoeksdossier. TriageWatch verrijkt alerts, beoordeelt of ze terecht zijn, sluit ruis af met een reden en escaleert de echte meldingen. Hunt Watch jaagt continu op dreigingen. DetectionWatch leert van de andere Watches en stelt tuning voor luidruchtige regels en nieuwe regels voor gaten voor, al past de agent nooit een regel aan zonder goedkeuring. ForensicsWatch levert diepgang op het gebied van forensisch onderzoek, malware-analyse en exploit-paden. Dat is kennis die een gemiddeld SOC niet altijd in huis heeft.
“Wat AlertZero anders maakt, is dat ons team dat het heeft gebouwd zelf op de stoel van de SOC-analist heeft gezeten”, zegt Mike Nichols, general manager Security bij Elastic. Volgens hem is het autonomieniveau per Watch instelbaar.
Vrije modelkeuze
Opvallend is de flexibiliteit rond modellen. Analisten kunnen tijdens een onderzoek van model wisselen, afhankelijk van de taak en het bewijs. AlertZero draait op Elastic Cloud, self-managed en in air-gapped omgevingen.
Klanten kunnen AlertZero uitbreiden met dezelfde bouwstenen die Elastic zelf gebruikte: Elastic Workflows en Agent Builder, de toolset waarmee organisaties eigen AI-agents op Elasticsearch bouwen. Verder bouwt AlertZero voort op Attack Discovery en ES|QL.
AlertZero komt als Technical Preview beschikbaar voor klanten van Elastic Security.