KI im praktischen Einsatz Cybersicherheit braucht Mensch und Maschine

Anbieter zum Thema

Vertiv GmbH

WatchGuard Technologies GmbH

Fortinet Deutschland GmbH

Kein Thema treibt die IT-Branche aktuell weiter um als die Künstliche Intelligenz. Angesichts steigender Cyberattacken und größeren Angriffsflächen sehen viele in ihr die Lösung. Nützlich ist sie zweifelsohne. Den Menschen zu ersetzen, vermag sie jedoch nicht.

Wenn es nur für die IT-Branche eine Wahl zum Wort des Jahres gäbe, würde es nach aktuellem Stand der Dinge ein Kopf-an-Kopf-Rennen zwischen den Begriffen „Cybersicherheit“ und „KI“ geben. Während einerseits die Bedrohungslage zunehmend kritischer wird, scheiden sich die Geister bei der Frage, ob Künstliche Intelligenz der Grund für diese Krise oder eine Lösung für sie ist. Ob nun Fluch oder Segen, argumentativ haben Vertreter beider Seiten dieser Diskussion durchaus valide Punkte. Pessimisten führen an, dass es Hacker und andere Cyberkriminelle durch immer ausgefeiltere und zugänglichere KI-Kapazitäten leichter haben, Systeme zu knacken und Schadsoftware zu verbreiten. Zudem demokratisieren Tools wie die auf Large Language Models (LLM) basierenden Chatbots „Bard“ von Google und „ChatGPT“ von OpenAI den Zugang zu der mächtigen generativen Künstlichen Intelligenz.

Optimisten hingegen sehen in KI und Machine Learning (ML) schon seit weit über zehn Jahren Verbündete im Kampf gegen Cyberattacken – und auch sie haben Recht. Sicherheitsanwendungen wie Virenscanner, Firewalls und EDR (Endpoint Detection and Response)- sowie SIEM (Security Information and Event Management)-Tools nutzen ML bereits sehr lange, um Verhaltensmuster bei Hackerangriffen und auch von Schadsoftware selbst mit Hilfe heuristischer Verfahren zu erkennen. Oft entlarvt nämlich nicht nur eine bestimmte Signatur einer Datei, sondern bereits die Code-Struktur einer Software sie als Malware. Durch immer größere ML-Modelle erhöht sich die Akkuranz und die Trefferwahrscheinlichkeit, während sich auf Angreiferseite immer diffizilere Wege eröffnen, Sicherheitsbarrieren zu überwinden. Aktuell findet demnach ein starkes Wettrüsten statt.

KI im praktischen Einsatz

Ein Blick auf aktuelle Security-Anwendungen sowie die Arbeitsweise und das Tools-Set von Managed-Service-Anbietern zeigt: Künstliche Intelligenz kommt bei den meisten von ihnen längst nicht so flächendeckend zum Einsatz, wie der Hype um das Thema es suggeriert. In der Praxis ist KI vor allem Bestandteil von EDR-Tools. Mittels Heuristik erkennen sie Anomalien im Verhalten von Usern oder Anwendungen, vielleicht auch in der Netzwerkkommunikation und zeigen, wo Hacker in das System eingedrungen sind. All diese Szenarien sind jedoch rein reaktiv und helfen dem Security Operations Center (SOC), also einem Team aus Sicherheitsexperten, vor allem bei der Threat Detection. Das ist selbstverständlich hilfreich, jedoch müssen SOCs Meldungen der Sicherheitssoftware viel zu oft zunächst sichten, prüfen, priorisieren, analysieren und kommen erst dann dazu, auf sie zu reagieren. Kostbare Zeit, die verloren geht und eine Verzögerung, die bereits große Konsequenzen nach sich ziehen kann.

Manche SIEM-Plattformen wie Microsoft Sentinel setzen KI ein, um diese Mean Time to Respond (MTTR) zu verringern, indem das System Warnungen und Vorfälle (Incidents) bereits voranalysiert und priorisiert. Das steigert die Effizienz der menschlichen Analysten und deren Fähigkeit, möglichst schnell auf Vorfälle reagieren zu können. Eine besondere Fähigkeit, die spezielle KI-Anwendungen in diesem Zusammenhang durch den Einsatz von GPT und anderen LLMs lernen können, ist die Kategorisierung von Incidents. Nicht jeder Vorfall, der einen Alarm der Sicherheitssoftware evoziert, ist auch wirklich für jedes Unternehmen relevant. Manche Viren können auf Systemen auftauchen, dort aber etwa aus Kompatibilitätsgründen keinen Schaden anrichten. Sogenannte „Benign Positives“ sind für Analysten besonders lästig, da sie zwar echte Vorfälle sind, aber keiner Reaktion bedürfen. Dennoch verschlingen sie oft ähnlich viel Untersuchungszeit wie „True Positives“, also kritische Vorfälle.

Lokalisierung fördert proaktive Sicherheitsmethoden

Um diese Einschätzung vornehmen zu können, benötigt die zugrundeliegende Künstliche Intelligenz allerdings detaillierte Informationen über lokale Umgebungen. In diesem Zusammenhang sprechen Experten von einer „Lokalisierung“, die nicht nur für reaktive, sondern auch für proaktive Sicherheitsmaßnahmen von essenzieller Bedeutung ist. Einige wenige SOCs trainieren ihre KI-Anwendungen zu diesem Zweck mit strukturellem und operationalem Kontext. Ersteres bezieht sich darauf, die Künstliche Intelligenz mit den Assets eines Unternehmens vertraut zu machen – also der gesamten Hard- und Software-Infrastruktur.

Die IT-Sicherheitsabteilung muss ihrer KI-basierten Sicherheitsplattform dafür Einblick in sämtliche Komponente geben, vom Backend-Server über Router und Netzwerkgeräten bis zu den Endpunkten. Das ist weniger invasiv als es klingt, denn sind EDR- und SIEM-Tools im Einsatz, laufen die nötigen Informationen ohnehin in ihnen zusammen, sodass die KI-Plattform nur ein weiterer Layer ist, der nicht auf jedem Gerät installiert werden muss. Der operationale oder betriebliche Kontext ist etwas diffiziler abzubilden: Dazu muss das SOC die KI mit Informationen zur Lösung von Vorfällen vertraut machen, etwa indem sie sie in das von der IT-Abteilung verwendete Ticketing-System einbinden. Die Künstliche Intelligenz lernt auf diese Weise nicht nur die Kategorisierung von Vorfällen, sondern kann auch redundante Workflows identifizieren. Ein wichtiger Baustein, um sie schließlich zu automatisieren.

Eine weitere neue Methode aus dem Bereich Lokalisierung ist die Cricitcal Asset Intelligence. Speziell via Machine Learning trainierte Anwendungen erkennen automatisch, wenn sich die lokale IT-Infrastruktur verändert. Tauscht ein Unternehmen einen Router gegen ein neueres Modell oder installiert eine neue Software, erkennt die KI diesen Vorgang, analysiert das Gefahrenpotenzial und gibt Meldung an das zuständige IT-Sicherheitspersonal. Das SOC kann im Falle eines neuen oder erweiterten Risikos reagieren, bevor die veränderte Infrastruktur zu einem Problem wird.

Automatisierung und Bots – Wird der Mensch überflüssig?

Der sprichwörtliche Elefant im Raum und das aktuelle Lieblingsthema der IT-Branche sind natürlich Large Language Models und die durch sie mögliche Automatisierung. Das Gedankenspiel, Sicherheitsteams langfristig durch ChatGPT und Co zu ersetzen, haben bereits viele bemüht. Aktuell ist die vollständige Automatisierung eines SOCs noch absolute Zukunftsmusik – wenn es überhaupt je möglich sein wird, den Menschen zu ersetzen: Generative KI kann viel. Menschliche Intuition imitieren gehört jedoch nicht dazu und gerade bei sicherheitskritischen Entscheidungen sollte sich kein Unternehmen komplett auf Bots verlassen.

Das heißt allerdings nicht, dass sie nicht nützlich wären, im Gegenteil. Ein gutes Beispiel sind KI-Modelle, die bei einem Incident erwägen, wie sicherheitsrelevant er ist, ohne automatisiert auf ihn zu reagieren. Da eine KI nicht immer entscheiden kann, ob ein vermeintlicher Vorfall wirklich ein Benign Positive oder ein True Positive ist, sendet das Modell den Verantwortlichen IT-Sicherheitsexperten stattdessen einen Wahrscheinlichkeits-Score und eine Übersicht über die Faktoren, die die KI für diese Entscheidung einbezogen hat. Der Analyst kann den Vorfall dann schließen oder weiterrecherchieren. Und auch ein Tool wie der ION Chatbot, der auf Azure OpenAI basiert, hilft SOCs in großem Maßstab. Mit natürlicher Sprache können sie innerhalb von Sekunden wertvolle und sicherheitsrelevante Informationen abfragen, für die sie sonst eine stunden- oder tagelange Recherche benötigen würden.

Natürlich gibt es Incidents, die sehr elaborierte KI-Tools bereits heute automatisiert abarbeiten können oder auf die sie zumindest eine unmittelbare Reaktion ausführen können, die dann eines weiteren Eingreifens von menschlicher Seite aus bedarf. Bestimmte EDR-Tools sperren User etwa aus dem Unternehmensnetz aus, wenn sie eine Anomalie in deren Verhalten erkennen. Auf diese Weise lassen sich mit entsprechenden KI-Tools und Sicherheitsplattformen bis zu 70 Prozent aller Vorfälle automatisiert abwickeln. Bleiben jedoch 30 Prozent der wirklich schwierigen Fälle, bei denen der Mensch – nach wie vor – selbst Hand anlegen muss. Künstliche Intelligenz wird die IT-Branche und insbesondere den Bereich Cybersicherheit revolutionieren. Um ihre Jobs brauchen sich Mitglieder von SOCs allerdings auch auf lange Sicht nicht zu sorgen.

Über den Autor: Jochen Koehler ist VP EMEA Sales bei Ontinue.

(ID:49826179)