AWS stellt GuardDuty Investigation Agent als Public Preview vor, damit KI Sicherheitsteams bei der Verfolgung von Angriffsansätzen unterstützt

Amazon Web Services (AWS) hat die öffentliche Vorschau des Amazon GuardDuty Investigation Agent angekündigt, eines KI-gesteuerten Sicherheitstools, das Sicherheitsbefunde bewerten, historische Aktivitäten korrelieren und Bedrohungstelemetrie über AWS-Konten und -Organisationen hinweg abbilden soll. Der Dienst integriert Befundmetadaten, Aktivitätsprotokolle der letzten 90 Tage und die Topologie betroffener Ressourcen in strukturierte Analyseberichte mit dem Ziel, die Untersuchungszeit von Stunden auf Minuten zu reduzieren. Er wurde ursprünglich im Juni als „KI-gestützte Untersuchungen“ angekündigt und im Juli unter dem Namen Investigation Agent näher beschrieben. Der Agent arbeitet auf drei Ebenen: Befundanalyse für eine bestimmte 32-stellige GuardDuty-Befund-ID, Kontoanalyse für ein einzelnes 12-stelliges AWS-Konto und Organisationsanalyse für bis zu 100 Mitgliedskonten in einer AWS-Organisation. Jede Analyse erzeugt eine strukturierte Ergebnisliste mit Risikostufe (von Info bis Critical), Konfidenzwert, MITRE-ATT&CK-Klassifizierung und ausführbaren CLI-Remediationsschritten. AWS-Security-Hero Sena Yakut wies auf den Unterschied zur bestehenden GuardDuty-Funktion Extended Threat Detection hin, die zusammenhängende Befunde zu Angriffsketten verknüpft, während Investigation betroffene Ressourcen, IAM-Aktivitäten und den umgebenden Kontext analysiert, um einen zusammenfassenden Bericht mit Empfehlungen zu erstellen. Das Tool eignet sich besonders für Organisationen ohne große Sicherheitsteams, aber Yakut betonte, dass KI die menschliche Untersuchung und Entscheidungsfindung unterstützen, nicht ersetzen sollte. Entwickler und SecOps-Teams können Untersuchungen programmatisch über das AWS SDK, den AWS-CLI-Befehl „aws guardduty create-investigation“ oder EventBridge-Regeln auslösen. Die AWS-MCP-Server-Integration ermöglicht es Ingenieuren, Bedrohungsuntersuchungen von Claude Desktop oder benutzerdefinierten CLI-Agenten auszulösen, die vorhandene IAM-Anmeldeinformationen verwenden. AWS adressiert Governance-Bedenken, indem es darauf hinweist, dass Untersuchungsdaten und -berichte in der ursprünglichen Region gespeichert werden, auch wenn die Inferenz über den Cross-Region Inference Service (CRIS), der von Bedrock-Modellen unterstützt wird, in andere Regionen geleitet werden kann. Der Dienst konkurriert mit Microsofts Security Copilot und den Gemini-gestützten Untersuchungen von Google. Die Differenzierung liegt im Umfang, der auf GuardDuty-Befunde und die umgebende AWS-Telemetrie beschränkt ist, was den Argumentationsbereich eingrenzt und Ergebnisse überprüfbar macht. Die öffentliche Vorschau ist in 10 AWS-Commercial-Regionen verfügbar und während der Vorschau kostenlos, mit einem Limit von 10 Untersuchungen pro Konto und Tag sowie insgesamt 100 pro Konto. Diese Limits deuten auf einen Fokus auf manuelle Analyse hin und nicht auf automatisierte Reaktionspipelines, was Yukats Erinnerung entspricht, dass die Vorschau der Bewertung von Ergebnissen dient, nicht der autonomen Reaktion.