Ist der KI-Reverse-Engineer optional?

Nein. Er ist bei jeder Analyse dabei. Sie bekommen also zu jeder Probe neben dem Sandbox-Bericht auch die Kurzfassung mit Urteil und Begründung.

Welche Daten sieht das Sprachmodell?

Nur Merkmale: Hashes und Dateityp, Signaturen, Regeltreffer, beobachtete Domains, IP-Adressen und URLs, Befehlszeilen, Dateioperationen und MITRE-Techniken. Die Probe selbst, Mailtext und Empfänger verlassen Ihre Umgebung nie.

Kann ich ein eigenes Modell auf eigener Hardware nutzen?

Ja. Das Modell kann auf einem eigenen GPU-Server laufen. Ist er eingerichtet, gehen die Anfragen nur dorthin. Einen stillen Rückfall auf einen externen Dienst gibt es dann nicht.

Was ist MITRE ATT&CK?

MITRE ATT&CK ist ein öffentlicher Katalog von Angriffstechniken. Jede Technik hat eine Nummer, etwa für das Ausführen von Befehlen oder das Einschleusen in fremde Prozesse. So lassen sich Befunde einheitlich benennen und vergleichen.

Zurück zur Malware-Sandbox

KI Malware-Analyse

Der KI-Reverse-Engineer: Befunde, die jeder versteht

Ein Sandbox-Bericht ist lang. Er listet Signaturen, Prozesse und Verbindungen. Für Fachleute ist das wertvoll, für alle anderen schwer zu lesen. Der KI-Reverse-Engineer macht daraus einen kurzen Bericht mit klarem Urteil. Er ist bei jeder Analyse dabei.

Demo anfragen

Was der KI-Reverse-Engineer auswertet

Reverse Engineering heißt: herausfinden, wie eine Software arbeitet. Bei Malware ist das klassisch Handarbeit für Spezialisten. Der KI-Reverse-Engineer führt selbst nichts aus. Er nimmt die Ergebnisse der Sandbox und ordnet sie ein:

Verhalten und Signaturen: Eine Signatur ist eine Regel, die typisches Schadverhalten erkennt.
Prozesse: Welche Programme die Probe startet, samt Befehlszeile.
Dateien: Was sie schreibt, liest oder löscht.
Netzwerk: Welche Domains, IP-Adressen und URLs sie anspricht.
MITRE ATT&CK: Welche bekannten Angriffstechniken sichtbar werden.
Indikatoren: Spuren wie Hashes und Adressen, an denen Sie den Angriff wiedererkennen.

Ein Beispiel: Startet ein Office-Dokument im Test eine Befehlszeile und meldet sich bei einem fremden Server, steht im Bericht kurz, was passiert ist und warum das gefährlich ist. Mehr zu den Spuren erklärt unser Glossar unterIndicators of Compromise.

Das Ergebnis: Urteil mit Begründung

Vier Stufen von harmlos bis kritisch

Jede Probe bekommt ein Urteil: harmlos, verdächtig, schädlich oder kritisch. Dazu nennt der Bericht, wie sicher das Urteil ist. Kennt das Modell die Malware-Familie, steht auch sie im Bericht.

Kurzfassung und Bericht

Oben stehen ein bis zwei Sätze auf Deutsch. Darunter folgt ein Bericht von etwa 25 Zeilen. Er begründet das Urteil und listet die MITRE-Techniken und Indikatoren auf. So sieht die Geschäftsführung sofort, worum es geht. Ihr IT-Team bekommt trotzdem alle Details.

Wo Sie den Bericht sehen

Im Mail Security Gateway erscheint er in der Quarantäne-Ansicht. Für Ihr Sicherheitsteam lässt er sich in Tickets übernehmen.

Datenschutz: Nur Merkmale gehen an das Modell

Die Probe selbst verlässt Ihre Umgebung nicht. Mailtext und Empfänger auch nicht. Das Sprachmodell bekommt nur eine Liste von Merkmalen, etwa Hashes, Signaturen und beobachtete Adressen.

Eigenes Modell auf eigenem GPU-Server

Auf Wunsch läuft das Modell auf einem eigenen GPU-Server. Dann gehen die Anfragen nur dorthin. Einen stillen Rückfall auf einen externen Dienst gibt es nicht.

Wenn das Modell nicht antwortet

Fällt das Modell aus, läuft die Analyse trotzdem weiter. Der Sandbox-Bericht bleibt vollständig. Den Grund für die fehlende Kurzfassung sehen Sie im Bericht.

Wie die Sandbox die Befunde gewinnt, zeigt die Seiteagentenlose VMI-Analyse und der Beitrag sectepe-vmi. Den Ablauf einer automatischen Prüfung beschreibtAutomatisierte Malware-Analyse.

Häufige Fragen zum KI-Reverse-Engineer

Ist der KI-Reverse-Engineer optional?: Nein. Er ist bei jeder Analyse dabei. Sie bekommen also zu jeder Probe neben dem Sandbox-Bericht auch die Kurzfassung mit Urteil und Begründung.
Welche Daten sieht das Sprachmodell?: Nur Merkmale: Hashes und Dateityp, Signaturen, Regeltreffer, beobachtete Domains, IP-Adressen und URLs, Befehlszeilen, Dateioperationen und MITRE-Techniken. Die Probe selbst, Mailtext und Empfänger verlassen Ihre Umgebung nie.
Kann ich ein eigenes Modell auf eigener Hardware nutzen?: Ja. Das Modell kann auf einem eigenen GPU-Server laufen. Ist er eingerichtet, gehen die Anfragen nur dorthin. Einen stillen Rückfall auf einen externen Dienst gibt es dann nicht.
Was ist MITRE ATT&CK?: MITRE ATT&CK ist ein öffentlicher Katalog von Angriffstechniken. Jede Technik hat eine Nummer, etwa für das Ausführen von Befehlen oder das Einschleusen in fremde Prozesse. So lassen sich Befunde einheitlich benennen und vergleichen.

Lesen Sie einen echten Bericht

Wir zeigen Ihnen eine Analyse mit Urteil und Begründung und klären, wo das Modell bei Ihnen laufen soll.

Demo anfragen

Weitere Themen

So arbeiten wir mit Ihnen zusammen

Wir wollen lange mit Ihnen arbeiten, nicht nur einmal liefern. Unser Weg hat vier Schritte. So wissen Sie stets, was als Nächstes kommt, wer was macht und was am Ende steht.

1. Erstes Gespräch, kostenlos

Wir lernen Ihre Lage und Ihre Ziele kennen. In 30 bis 45 Minuten prüfen wir, ob wir zu Ihnen passen. Wir zeigen Wege auf und klären Ihre Fragen.

2. Bestandsaufnahme

Wir prüfen, wo Sie heute stehen: bei Technik, Abläufen und Vorgaben. Sie bekommen eine Liste mit Stärken und Lücken, nach Dringlichkeit sortiert. Darauf baut unser Angebot auf.

3. Umsetzung mit festem Kontakt

Eine erfahrene Leitung führt Sie durch das Projekt. Es gibt klare Ziele, einen offenen Plan für Zeit und Kosten und jede Woche einen Stand. Alle Ergebnisse sind dokumentiert und gehören Ihnen.

4. Betrieb und Prüfung

Nach dem Projekt bleiben wir an Ihrer Seite. Wir betreiben Systeme für Sie, prüfen sie in festen Abständen und behalten offene Punkte im Blick. Bei neuen Gefahren oder neuen Regeln melden wir uns von selbst.