Etwa 80 % des durchschnittlichen Betriebsbudgets eines SOC entfallen auf Personalkosten. Allein in den USA werden jährlich schätzungsweise 3,3 Milliarden US-Dollar für die manuelle Tier-1-Triage ausgegeben. Und laut Command Zero werden 42 % der Sicherheitswarnungen gar nicht erst geöffnet.
Dateien stellen eine weitere Quelle für Reibungsverluste dar. Wenn bei einer „Command Zero“-Untersuchung eine Datei auftaucht, muss ein Analyst möglicherweise den Arbeitsablauf unterbrechen, die Datei separat ausführen und die Ergebnisse manuell in den Fall eintragen. MetaDefender Aether™ liefert zwar eine Bewertung der Datei, doch die Einbindung dieses Ergebnisses in einen dokumentierten Vorfall erfordert nach wie vor manuellen Aufwand.
MetaDefender Aether™, die Zero-Day-Erkennungslösung v OPSWAT, ist nun direkt mit der autonomen Ermittlungsplattform von Command Zero verbunden, sodass das Ergebnis und der Fall in einem einzigen Datensatz zusammengefasst werden.
Wichtigste Erkenntnisse
- Wenn Ihr SOC „Command Zero“ einsetzt, werden Ermittlungsfälle, die früher einen manuellen Umweg erforderten, nun innerhalb desselben Falls über das von Ihrem Team verwendete „ API “ abgewickelt.
- Wenn Ihr SOC „ MetaDefender “ von Aether einsetzt, fließen dessen Beurteilungen nun direkt in ein vollständiges, überprüfbares Untersuchungsprotokoll ein, anstatt in einem separaten Tool gespeichert zu bleiben.
- Die Integration fügt sich nahtlos in bestehende Arbeitsabläufe ein, ohne dass Teams vorhandene Tools ersetzen oder Analysten neu schulen müssen.
- Es funktioniert in Cloud-, Hybrid- und Air-Gap-Umgebungen und erweitert die Integration auf Teams für kritische Infrastrukturen mit unterschiedlichen Bereitstellungsanforderungen.
- MetaDefender Aether erreicht eine Erkennungsrate von bis zu 99,5 % und liefert Ergebnisse bis zu 40-mal schneller als herkömmliche Sandboxen.
- Der Early Access ist ab sofort über die OPSWAT -Kundenteams verfügbar
Falls Ihr SOC bereits den Befehl „Zero“ ausführt
Command Zero automatisiert bereits Ermittlungsaufgaben wie die Umwandlung von Fragen in Abfragen, die Korrelation von Identitäts-, Endpunkt-, Cloud- und SaaS-Daten sowie die Dokumentation jedes einzelnen Schritts. Dateien bildeten bisher eine Ausnahme. Für die Dateianalyse mussten Analysten bisher diesen Arbeitsablauf verlassen, die Datei in einer separaten Sandbox ausführen und die Ergebnisse wieder in den Fall einbringen.
Wenn Agent Zero auf eine Datei stößt – sei es als E-Mail-Anhang, als Endpunkt-Warnmeldung oder als Ereignis im Cloud-Speicher –, übermittelt es die Probe automatisch an MetaDefender Aether. Die daraus resultierende Analyse kann abgelegte Dateien, Änderungen an der Registrierungsdatenbank, Command-and-Control-Callbacks, extrahierte Indikatoren für Kompromittierung sowie die Zuordnung zu einer Familie umfassen.
Diese Informationen verbleiben innerhalb des Command Zero-Ermittlungsworkflows und werden Teil der Fallakte. Die Integration funktioniert sowohl in Cloud-Umgebungen als auch in hybriden und vollständig isolierten Umgebungen.
Falls Ihr SOC bereits „ MetaDefender “ auf Aether ausführt
MetaDefender Aether analysiert einzelne Dateien und liefert ein zusammengefasstes Ergebnis. Über Command Zero kann dieses Ergebnis nun in eine umfassendere Untersuchung einfließen, die Beweismittel aus den Bereichen Identität, Endgeräte, Cloud und SaaS umfasst.
Die Dateianalyse wird zusammen mit den übrigen Ermittlungsergebnissen dokumentiert, und die daraus gewonnenen Indikatoren können nachfolgende Ermittlungsansätze unterstützen, ohne dass die Analysten die Ergebnisse manuell erneut eingeben müssen. Dies bietet den Teams einen direkten Weg von der Dateianalyse zu einer vollständigen, nachprüfbaren Fallakte.
Der Stand des SOC
Die Geschwindigkeit der Angreifer und die Menge der Warnmeldungen erklären, warum die Dateianalyse immer wieder zum Engpass für Teams auf beiden Seiten dieser Integration wird. Die folgenden Zahlen stammen aus den Artikeln „The 51-Second Problem“ und „When Brute Force Still Works“ von Command Zero.
SOC-Benchmarks für Geschwindigkeit und Alarmlautstärke
Stat | Kontext |
51 Sekunden | Schnellste jemals gemessene Ausbruchszeit eines Angreifers (2024) |
30 Min.–4 Std. | Durchschnittliche Zeit bis zur Erkennung bei den leistungsstärksten SOC-Teams |
90+ Minuten | Realistische Mindestzeit von der Alarmierung bis zur koordinierten Reaktion |
90% | SOCs berichten, dass sie von Rückständen bei den Warnmeldungen überfordert sind |
80 Milliarden | Aus Stealer-Protokollen aus dem Jahr 2025 zusammengetragene Anmeldedaten |
600 Millionen | Anmeldeinformationen, die an einem einzigen Tag veröffentlicht wurden (2025) |
Rückgang um 90 % | Rückgang der fehlgeschlagenen Anmeldeversuche innerhalb von 72 Stunden nach der Behebung des Problems bei einem Kunden |
Das Schließen einer solchen Kontextlücke führt schnell zu messbaren Ergebnissen. Diese Integration zielt auf denselben Wandel ab, nur dass sie statt auf Anmeldedaten auf Dateien angewendet wird.
Wie das in der Praxis aussieht
Die Untersuchungsprotokolle von Command Zero zeigen, wie sich der Arbeitsablauf verändert, wenn die Dateianalyse Teil des Falls wird. In einem veröffentlichten Phishing-Fall führte Agent Zero eine verdeckte Posteingangsregel auf ein gestohlenes Sitzungstoken und einen anonymen Proxy zurück, stellte 42 Fragen zu 219 Datensätzen und gelangte innerhalb von 5 Minuten und 9 Sekunden zu einem Ergebnis.
Der Phishing-Analyse-Workflow von Command Zero automatisiert bereits die Header-Analyse, die URL-Detonation und die Korrelation des Nutzerverhaltens. Ein bösartiger Anhang kann einen Analysten jedoch nach wie vor aus dem Workflow herausführen. Die Aether-Integration von „ MetaDefender “ sorgt dafür, dass das Ergebnis der Dateianalyse im selben Fall und auf derselben Zeitachse verbleibt.
Ein Kunde von „ OPSWAT “, ein weltweit tätiges Finanzinstitut, sah sich mit diesem Engpass konfrontiert, da täglich fast 1.000 verdächtige E-Mails in einer Warteschlange einer VM-basierten Sandbox standen. Bei Vorfällen mit hoher Priorität mussten die Analysten automatisierte Jobs unterbrechen, nur um Kapazitäten freizumachen. Nach der Verlagerung der Erkennung auf „ MetaDefender Aether“ wurde die Warteschlange beseitigt, und die Dateianalyse verkürzte sich von Minuten auf Sekunden.
Der Anwendungsfall zu Insider-Bedrohungen von Command Zero liefert ein weiteres Beispiel. Im Szenario „Last Day Engineer“ des Anwendungsfalls zu Insider-Bedrohungen des Unternehmens kündigt ein Mitarbeiter an einem Freitag, klont über das Wochenende 14 firmeneigene Git-Repositorys und lädt eine Kundendatenbank auf ein persönliches Laufwerk hoch, ohne dabei einen DLP-Alarm auszulösen. Vor der Einführung von Command Zero wurde diese Datenexfiltration erst drei Wochen später im Rahmen einer Offboarding-Prüfung aufgedeckt. Dank der von der Personalabteilung ausgelösten Untersuchung durch Command Zero lag das Beweismaterial bereits vor dem letzten Arbeitstag des Mitarbeiters vor.
Dateien, geklonte Repositorys, hochgeladene Datenbanken und exportierte Archive können allesamt Belege liefern, die die Verhaltenskorrelation ergänzen. In einer Bewertung auf Gartner Peer Insights beschreibt ein CISO einer Regierungsbehörde die Erfahrungen mit Command Zero von den ersten Tests bis hin zum einsatzbereiten Produkt als „fantastisch“. Die eigene Bedrohungsforschung von Command Zero dokumentiert eine Untersuchung zum „Credential Stuffing“ bei einem mittelständischen Finanzdienstleistungsunternehmen.
Die technische Grundlage
MetaDefender Die fünfschichtige Engine von Aether übernimmt die Dateianalyse, während Command Zero den damit verbundenen Integrations-Workflow automatisiert.
MetaDefender Aufschlüsselung der Äther-Fähigkeiten
Fähigkeit | Was es bewirkt | Wichtige Kennzahlen |
Fünflagige Erkennungskette | Bedrohungsreputation, statische Analyse, dynamische Analyse, Bedrohungsbewertung und Bedrohungssuche im Zusammenspiel | Bis zu 99,5 % Erkennungsrate nach der Bedrohungssuche (interne Benchmark-Tests) |
Predictive Alin AI (statische Analyse) | Gibt ein Ergebnis zurück, bevor eine Datei emuliert werden muss | Nur 50 Millisekunden bei risikoreichen ausführbaren Dateien |
Emulation auf CPU-Ebene (dynamische Analyse) | Zwingt die Malware dazu, ihre eigentliche Logik auszuführen, anstatt sich vor einer VM zu verstecken | Bis zu 40-mal schneller als herkömmliche Sandboxen |
Bedrohungssuche / Verhaltensanalyse | Ordnet die Ergebnisse den Vorgehensweisen der Angreifer zu, nicht nur den einmalig verwendbaren Indikatoren | Über 900 Verhaltensindikatoren, die auf MITRE ATT&CK abgestimmt sind |
ML-Ähnlichkeitssuche | Ordnet eine Probe den zugehörigen Familien, Varianten und der gemeinsamen Infrastruktur zu | Aktivitäten, die damit in Zusammenhang stehen, werden automatisch angezeigt, bevor sie an anderer Stelle erneut auftauchen |
In einer unabhängigen Bewertungerkannte „ Adaptive “ von OPSWAT(Sandbox ) im Sandbox-Test 2026 von Venak Security 95 % der KI-generierten Malware-Beispiele. Command Zero dokumentiert jede gestellte Frage und jede abgefragte Datenquelle, sodass die Ergebnisse von MetaDefender Aether Teil eines überprüfbaren Untersuchungsprotokolls werden, das Teams gegenüber der Unternehmensleitung, Wirtschaftsprüfern und Aufsichtsbehörden vorlegen können. Dieser dokumentierte Entscheidungsverlauf ist von Bedeutung, da SOCs zunehmend autonomere Tools einsetzen.
Über Command Zero
Command Zero ist eine autonome und KI-gestützte SOC-Untersuchungsplattform, die auf einem fragengestützten Ansatz basiert, bei dem jeder Schritt transparent, nachvollziehbar und reproduzierbar ist. Die Plattform enthält Tausende vorgefertigter Expertenfragen, die auf reale SOC-Arbeitsabläufe abgestimmt sind, und lässt sich ohne Datenmigration in bestehende Tools integrieren. Kunden von Command Zero haben bereits mehr als 500.000 Untersuchungen durchgeführt und berichten von einer Reduzierung der Tier-1-Eskalationen um bis zu 90 %.
Wir sind nicht der erste Sicherheitsanbieter, der sich in die Ermittlungs-Ebene von Command Zero integriert hat. ReversingLabs ist kürzlich eine Partnerschaft mit Command Zero eingegangen, um seine Bedrohungsdaten in dieselben Arbeitsabläufe einzuspeisen, wodurch Fehlalarme reduziert und historischer Kontext zu Angriffsmustern hinzugefügt wird. Unabhängig davon, welcher Anbieter die Beweise bereitgestellt hat, fließen diese in den Fall ein, an dem die Ermittler bereits arbeiten.
Von der Alarmmüdigkeit zu beantworteten Fragen
Command Zero automatisiert Ermittlungsaufgaben, während „ MetaDefender “ Aether die Dateianalyse automatisiert. Für die mehr als 2.100 Unternehmen, die „ OPSWAT “ zum Schutz ihrer Netzwerkgrenzen einsetzen, bindet die Integration „ MetaDefender “ Aether in den Ermittlungsworkflow ein. Command-Zero-Kunden profitieren von der Erkennung von Zero-Day-Dateien in jedem Fall, der eine Datei enthält.
Wir arbeiten eng mit dem Team von Command Zero zusammen, um diese Integration unseren gemeinsamen Kunden zur Verfügung zu stellen. Sprechen Sie mit einem Experten über den vorzeitigen Zugang zu dieser Integration.
Häufig gestellte Fragen
Was bewirkt die Integration von „ OPSWAT “ und „Command Zero“?
Sie verbindet die autonome Untersuchungsplattform von Command Zero direkt mit MetaDefender Aether. Wenn bei einer Untersuchung eine Datei auftaucht, MetaDefender gibt Aether automatisch ein durch Beweise gestütztes Urteil über die Datei ab, ohne dass ein Analyst die Untersuchung unterbrechen muss, um eine manuelle Sandbox-Ausführung durchzuführen.
Was ist „ MetaDefender Aether“?
MetaDefender Aether ist die einheitliche Zero-Day-Erkennungslösung von OPSWAT. Sie liefert ein einziges, konsolidiertes Ergebnis pro Datei anhand von fünf aufeinander abgestimmten Ebenen: Bedrohungsreputation, statische Analyse (Predictive Alin AI), dynamische Analyse, Bedrohungsbewertung und Bedrohungssuche.
Inwiefern ist „ MetaDefender “ Aether schneller als eine herkömmliche Sandbox?
Die prädiktive Alin-KI liefert bereits nach 50 Millisekunden eine Bewertung zu risikoreichen ausführbaren Dateien, sodass Dateien mit hoher Vertrauenswürdigkeit die Emulation vollständig überspringen können. Dateien, die noch einer eingehenderen Überprüfung bedürfen, durchlaufen eine Emulation auf CPU-Ebene, die bis zu 40-mal schneller ist als herkömmliche Sandboxen.
Kann diese Integration in Air-Gapped-Umgebungen ausgeführt werden?
Ja. MetaDefender Aether läuft in Cloud-, Hybrid- und vollständig Air-Gapped-Bereitstellungen, sodass Betreiber, die keine Proben an einen externen Standort senden können, die Integration dennoch in diesen Bereitstellungsumgebungen nutzen können.
Ab wann ist die Integration verfügbar?
Die Integration befindet sich derzeit in der aktiven Entwicklung. Teams können über ihr OPSWAT -Kundenteam einen frühen Zugang beantragen.
