SOC-Mind

Aus tausend Alarmen werden handhabbare Incidents

SIEM und EDR erzeugen täglich tausende Meldungen – die meisten sind Duplikate oder Fragmente desselben Angriffs. SOC-Mind unterdrückt Wiederholungen und verknüpft zusammengehörige Alerts deterministisch zu einem Incident, bevor die KI läuft.

Exakte Duplikat-Unterdrückung per Fingerprinting
Entitätsbasierte Korrelation: Angreifer, Hosts, User, Techniken
Kritische Alarme eskalieren sofort – reproduzierbar und auditierbar

soc-mind · incident INC-2041

incident INC-2041 HIGH

alerts 14 korreliert → 1 Incident

kill-chain Initial Access → Credential Access → Lateral Movement

mitre T1078 · T1021.002 · T1550

// nichts hat Ihr Netzwerk verlassen

SOC-Mind

KI-Ermittlung nach Ihren Playbooks – auf Ihrer Hardware

Ein lokal gehostetes LLM untersucht jeden Incident nach Playbook und schreibt die analystenfertige Zusammenfassung: was passiert ist, Evidenz, Kill-Chain, nächste Schritte. Die Playbooks werden mitgeliefert – mit so viel Kontext, dass Open-Source-Modelle die Analyse zuverlässig meistern.

Pro Aufgabe das beste Modell: z. B. GPT-OSS für Reports, ein Security-Modell für die Alert-Analyse
Playbooks als versionierte YAML-Dateien – jederzeit anpassbar
Auditierbar statt Blackbox: Ihr Team liest jeden Ermittlungsschritt

playbooks/lateral-movement.v3.yaml

alert_type: lateral_movement

model: security-analysis # Alert-Analyse

report_model: gpt-oss

steps:

- kontext_sammeln: hosts, user, prozesse

- threat_intel: eigene MISP-Instanz

- bewertung: kill-chain + empfehlung

version: 3 # versioniert, auditierbar

SOC-Mind

Triage, die selbst nachfragt

Fehlt Kontext zu einem Alert, holt SOC-Mind ihn – per automatisierter E-Mail an die zuständige Fachabteilung. Und über die Chat-Schnittstelle durchsuchen Ihre Analysten Kundendaten, Alerts und Wissensbasis in natürlicher Sprache.

Automatisierte Rückfragen an Fachabteilungen per E-Mail
Natürlichsprachlicher SOC-Chat über Kundendaten, Alerts und Wissensbasis
Analyse im vollen Unternehmenskontext – interne Daten und SOC-Prozesse inklusive

soc-mind · automatisierte Rückfrage

to: [email protected]

re: INC-2041 · Wartungsfenster Host SRV-042?

War auf SRV-042 gestern 22:00–23:00 ein geplantes Wartungsfenster aktiv?

> Antwort empfangen → Kontext an Incident angehängt

// der Analyst übernimmt mit vollem Bild

SOC-Mind

Nahtlos in Ihrem Stack – in einem Tag im Betrieb

SOC-Mind ersetzt nichts, es verbindet: die SIEM/EDR-Tools, die Sie bereits betreiben, Ihre eigene MISP-Instanz, Ihr Case-Management. Ausgeliefert als einzelner Docker-Compose-Stack – mandantenfähig mit harter Datenisolation pro Tenant.

Alarmquellen via REST API, Übergabe an Jira, XSOAR oder TheHive
MITRE-ATT&CK-Kontext und Threat Intel aus Ihrer MISP-Instanz
Multi-Tenant für Konzernstrukturen und MSSPs

docker compose up -d

sources splunk · cortex-xdr · qradar · wazuh · sentinel

intel misp (self-hosted) · mitre att&ck

handoff jira · xsoar · thehive

llm ollama · Modell Ihrer Wahl

status running · on-premise · air-gapped

Positionierung

Cloud-AI-SOC vs. SOC-Mind

Cloud-AI-SOC-Anbieter	SOC-Mind
Alarmdaten verlassen das Netzwerk	Nichts verlässt das Netzwerk – air-gap-fähig
KI-Reasoning ist eine Blackbox	Playbook-gesteuert: Ihr Team schreibt die Ermittlungsschritte der KI selbst
Preisangst: pro Seat, pro GB, pro Cloud-Call	Läuft auf Ihrer eigenen Hardware
Compliance-Bewertung pro Datenfluss	Lokalität durch Architektur, nicht durch Vertrag
Geschlossener, proprietärer Code	Open Source – einsehbar, auditierbar, kein Lock-in

Ehrliche Einordnung: SOC-Mind ist Analyse- und Triage-Automatisierung – es ermittelt und empfiehlt, führt aber keine autonomen Containment-Aktionen aus (automatisierte Response ist auf der Roadmap). Für KRITIS-Betreiber ist das ein Feature: Keine KI erhält die Schlüssel zur Produktionsinfrastruktur.

Funktionsumfang

Alles im aktuellen Release

PIPELINEMehrstufige Alarm-Pipeline mit vollem Audit-Trail – jeder Schritt aufgezeichnet und replaybar

DEDUPExakte Duplikat-Unterdrückung per Fingerprinting

CLUSTERINGEntitätsbasierte Incident-Bildung mit severity-abhängigem Timing – Kritisches eskaliert sofort

LLMPlaybook-gesteuerte lokale KI-Analyse (Ollama, Modell Ihrer Wahl, passend zu Ihrer Hardware)

MODELL-ROUTINGPro Aufgabe das beste Modell – z. B. GPT-OSS für Reports, Security-Modell für die Alert-Analyse

SCHEMASKundenverwaltete Alarm-Schemas als YAML – Self-Service im Dashboard

PLAYBOOKSFertige Playbooks im Lieferumfang – versioniert, als YAML anpassbar, mit genug Kontext für Open-Source-LLMs

KONTEXTAnalyse im vollen Unternehmenskontext – mit Zugriff auf interne Daten und Ihre SOC-Prozesse

RÜCKFRAGENAutomatisierte E-Mail-Kommunikation mit Fachabteilungen zur Anreicherung von Alerts

KNOWLEDGEWissensbasis mit semantischer Suche – eigene Referenzdokumente hochladen

THREAT INTELAnbindung an Ihre eigene MISP-Instanz + MITRE-ATT&CK-Kontext

DASHBOARDAnalysten-Dashboard inkl. Quarantäne-Management (Dead-Letter-Queue) und Plattform-Health

SOC CHATChat-Schnittstelle für die natürlichsprachliche Suche in Kundendaten, Alerts und Wissensbasis

CASE MANAGEMENTEinfache Anbindung an Ticketing- und Case-Management-Systeme wie Jira, XSOAR oder TheHive

MULTI-TENANTStrukturell isolierte Daten pro Mandant – für Konzernstrukturen und MSSPs

DEPLOYMENTSingle-Command-Docker-Deployment · Offline-/Air-Gap-Auslieferung

Jeden Alarm untersuchen.
Ihr Netzwerk nie verlassen.

Souveräne SOC-Automatisierung

Aus tausend Alarmen werden handhabbare Incidents

KI-Ermittlung nach Ihren Playbooks – auf Ihrer Hardware

Triage, die selbst nachfragt

Nahtlos in Ihrem Stack – in einem Tag im Betrieb

SOC-Mind ist die unsichtbare Intelligenz hinter Ihrem SOC.

Ihre Daten verlassen niemals Ihre Infrastruktur.

Cloud-AI-SOC vs. SOC-Mind

Alles im aktuellen Release

Sehen Sie SOC-Mind in Ihrer Umgebung.