Tracecat

Workflows entstehen als Graph verbundener Aktionen und laufen auf Temporal, das Wiederholungen, Zeitlimits und lange Schritte ohne Zustandsverlust abwickelt. Verzweigungen nach Bedingungen, Schleifen über Indicator-Listen und ein Abstieg in Python sind eingebaut, wenn eine Aufgabe echten Code braucht. Der Webhook ist der HTTP-Einstieg, also kann jedes Werkzeug, das eine Anfrage senden kann, einen Lauf starten.

Ein Agent-Preset bündelt Prompt, Modell, Werkzeugset und optionale Skills, und jede Version lässt sich veröffentlichen und festnageln. Der Agent ruft native Integrationen, entfernte MCP-Server oder ein lokales Kommando über npx oder uvx auf. Subagenten teilen die Arbeit auf, und die Freigabestufe hält riskante Aufrufe zurück, bis jemand im Agenten-Postfach, in Slack oder in Teams zustimmt.

Im Fall sammeln sich Alarm, Beweise, Zeitleiste und die beteiligten Personen. Eigene Felder und Auswahllisten bilden Ihre Schweregradskala ab, Aufgaben tragen Verantwortliche und Fristen, und Unterfälle verbinden zusammenhängende Vorfälle. Der Copilot fasst zusammen, was passiert ist, und entwirft ein Urteil, was hilft, wenn die nächste Schicht einen Fall ohne Kontext übernimmt.

Es gibt über 100 vorgebaute Konnektoren für Sicherheitstools und 50 oder mehr von Tracecat gehostete MCP-Server, mit dem Üblichen aus Endpoint, Identität, Cloud und Threat Intelligence. Ein eingebauter MCP-Client verbindet eigene Agenten per HTTP oder OAuth mit jedem entfernten Server, und Tracecat stellt eigene MCP-Werkzeuge bereit: Claude Code oder Copilot listet auf Zuruf die offenen kritischen Fälle und liefert eine echte Antwort.

Tabellen speichern strukturierte Daten im Workspace: eine Entitätstabelle für Assets und Konten, eine Beobachtungstabelle für alles, was Sie darüber gelernt haben, oder eine schlichte Liste freigegebener Domains. Die eigene Registry zieht Python-Skripte aus Ihrem Git-Repository, sodass private Logik versioniert bleibt und trotzdem in Tracecat läuft.

Rollenbasierte Zugriffskontrolle, eigene Rollen und Gruppen, Servicekonten und API-Schlüssel regeln, wer was darf, und SAML- oder OIDC-Single-Sign-on ist enthalten statt als Upgrade verkauft. Audit-Logs der Organisation lassen sich ins SIEM exportieren, was für einen SOC-2-Nachweis zählt. In sensiblen Netzen läuft die Plattform vollständig abgeschottet, ohne ausgehende Verbindung.