CrowdStrike weitet OverWatch Threat Hunting auf KI-Agenten und Google Cloud aus
CrowdStrike hat seinen Managed-Threat-Hunting-Dienst Falcon Adversary OverWatch um zwei Funktionen erweitert: Über Falcon Guardian jagt das Unternehmen nun rund um die Uhr nach Bedrohungen in KI-Anwendungen und bei der Aktivität autonomer Agenten. Hinzu kommt ein tieferes, telemetriegestütztes Hunting für Google Cloud. Ziel sei es, die Erkennungsabdeckung mit Angreifern in Einklang zu halten, die über Cloud-, Identitäts-, SaaS- und KI-Systeme hinweg operieren.
- CrowdStrike hat Falcon Adversary OverWatch um Managed Hunting rund um die Uhr für KI-Anwendungen und autonome Agenten über Falcon Guardian erweitert.
- Das Update bringt außerdem tieferes, telemetriegestütztes Threat Hunting für Google Cloud.
- Es baut auf Falcon Adversary OverWatch Cross-Domain auf, das Identität, Cloud, KI-Agenten-Aktivität, SaaS und Drittanbieterdaten abdeckt.
- Laut CrowdStrike benötigen Kunden keine separaten Threat-Hunting-SKUs mehr für jedes berechtigte Modul oder jede Domäne.
- Der CrowdStrike Threat Hunting Report 2026 zeigt: KI-Agenten lösten 2,5-mal mehr Erkennungshinweise aus als menschliche Aktivität.
Was CrowdStrike ergänzt hat
Laut CrowdStrike bringt die Erweiterung zwei zentrale Funktionen in Falcon Adversary OverWatch. Die erste ist Managed Hunting rund um die Uhr für KI-Anwendungen und die Aktivität autonomer Agenten, bereitgestellt über CrowdStrike Falcon Guardian. Die zweite ist ein tieferes Hunting für Google Cloud, das auf Telemetriedaten basiert.
Das Update baut auf dem kürzlich gestarteten Angebot Falcon Adversary OverWatch Cross-Domain auf. Nach Angaben von CrowdStrike dehnt es das Managed Threat Hunting rund um die Uhr auf Identität, Cloud, KI-Agenten-Aktivität, SaaS-Anwendungen und Daten von Drittanbietern aus. Die OverWatch-Threat-Hunter erhalten dadurch eine breitere Sichtbarkeit über die CrowdStrike-Falcon-Plattform hinweg. Kunden müssen laut Unternehmen zudem keine separaten Threat-Hunting-SKUs mehr für jedes berechtigte Modul oder jede Domäne erwerben.
Wie ein KI-gestützter Angriff ablaufen könnte
CrowdStrike veranschaulicht das Problem anhand eines hypothetischen Szenarios. Ein Angriff beginnt mit einer kompromittierten Sitzung beim Identitätsanbieter nach einem Phishing-Angriff. Der Angreifer könnte ein nicht autorisiertes Quick-Emulator-Gerät (QEMU) in der Multifaktor-Authentifizierung (MFA) der Organisation registrieren, sich dauerhaften Zugriff verschaffen und in angebundene SaaS-Anwendungen vordringen.
Von dort könnte der Angreifer über die kompromittierte Identität auf Claude zugreifen. CrowdStrike beschreibt, wie er das LLM nutzen könnte, um verbundene Anwendungen und lokale Dateien aufzulisten, Skripte zum Sammeln von Zugangsdaten zu erzeugen und Skill-Repositories sowie agentische Infrastruktur zu durchsuchen. Am Ende des Angriffs könnte eine Command-and-Control-Hintertür (C2) stehen, die einen kompromittierten Endpunkt mit der Infrastruktur des Angreifers verbindet.
CrowdStrike betont: Die Identitätskompromittierung, die verdächtigen KI-Interaktionen und die Ausführung auf dem Endpunkt wirken isoliert betrachtet womöglich unzusammenhängend. Zusammen ergeben sie jedoch einen Angriff über mehrere Umgebungen hinweg. Deshalb benötigen die OverWatch-Hunter nach Aussage des Unternehmens domänenübergreifende Sichtbarkeit.
Warum KI-Aktivität für Threat Hunter wichtig ist
CrowdStrike weist darauf hin, dass Organisationen KI-Systeme zunehmend mit sensiblen Daten, Anwendungen und Infrastruktur verbinden. Das eröffne Angreifern neue Möglichkeiten, vertrauenswürdige Zugriffe und legitime KI-Fähigkeiten auszunutzen.
Das Unternehmen verweist auf seinen Threat Hunting Report 2026, wonach KI-Agenten 2,5-mal mehr Erkennungshinweise auslösten als menschliche Aktivität. Laut CrowdStrike zeigt das, wie KI-gesteuerte Aktivität sowohl das Volumen als auch das Tempo der Signale erhöht, die Threat Hunter bewerten müssen.
Im Quelltext, der gekürzt war, heißt es, dass Falcon Adversary OverWatch Cross-Domain nun proaktives Threat Hunting rund um die Uhr auf KI-Anwendungen und die Aktivität autonomer Agenten ausdehnt, die von CrowdStrikes Werkzeugen überwacht werden.
Was das für Kunden bedeutet
Für Sicherheitsteams geht es bei der Änderung vor allem um Abdeckung und Paketierung. Wenn das Hunting über Identität, Cloud, SaaS, KI-Agenten-Aktivität und Drittanbieterdaten hinweg in einem domänenübergreifenden Angebot gebündelt ist, kann dasselbe Hunter-Team Signale aus verschiedenen Bereichen der Angriffsfläche miteinander verknüpfen. Laut CrowdStrike müssen Kunden zudem nicht für jedes berechtigte Modul oder jede Domäne eine eigene Threat-Hunting-SKU kaufen.
Die Google-Cloud-Ergänzung richtet sich an Organisationen, die dort Workloads betreiben. Das auf Falcon Guardian basierende Hunting zielt auf Unternehmen, die KI-Anwendungen und autonome Agenten einsetzen. Angaben zu Preisen oder Verfügbarkeit enthält die Quelle nicht.
