Cyberabwehr In diesen 6 Bereichen ist der Mensch einer KI überlegen

Anbieter zum Thema

ForeNova Security

G DATA CyberDefense AG

WatchGuard Technologies GmbH

mibeca GmbH – Mike Bergmann Akademie

Künstliche Intelligenz ist auch im Bereich der Cybersecurity ein nicht zu unterschätzender Hebel. Doch gibt es wichtige Aspekte eines Angriffs, in denen ist sie dem Menschen unterlegen. Wir zeigen, welche das sind.

Es gibt zwei Arten von Cyberangriffen: Automatisierte opportunistische Versuche, in ein Netzwerk einzudringen und gezielte Advanced-Persistent-Threat-Attacken, kurz APT. Erstere sind in der Mehrzahl und Künstliche Intelligenz kann einen Großteil automatisiert abblocken. Hinter einer APT stehen aber oft Menschen. Wer solche, immer häufiger vorkommenden Angriffe auf Netzwerkebene verteidigen will, benötigt sowohl KI als auch menschliche Intelligenz.

Am frühesten zeigen sich die Hacker durch die Spuren ihrer Malware im Netzwerk. Diese anomalen Muster im Datenverkehr gehen in der Menge an Informationen aber leicht verloren. Auf sich allein gestellt sind menschliche IT-Verantwortliche bei deren Entdeckung überfordert.

Der Nutzen von KI

Künstliche Intelligenz leistet einen wichtigen Abwehrbeitrag, erkennt Anomalien im Datenverkehr in Echtzeit anhand der Metadaten und schlägt dann Alarm, um Abwehrreaktionen auslösen zu lassen. KI und eine automatisierte Cyberabwehr können 90 Prozent der Sicherheitsvorfälle auf Tier-1-Level automatisch erkennen und die Abwehr initiieren – so das Urteil der Experten von Splunk.

Es bleibt die Frage: Was ist mit den verbleibenden zehn Prozent? Da hinter komplexen Angriffen oft noch menschliche Täter stehen, sind für eine zukunftssichere Abwehr sowohl die menschliche Logik als auch das menschliche Urteilsvermögen bei der Analyse von Informationen essenziell.

Sechsfacher Mehrwert menschlicher IT-Sicherheitsanalysten

Keine Cyberabwehr kommt mehr ohne KI aus. Aber die menschlichen Beobachterinnen und Beobachter bieten immer noch ein wichtiges Plus:

1. KI und menschliche Intelligenz ergänzen sich:
Eine mit Machine Learning und Threat Intelligence optimierte KI kann große Mengen an Informationen schnell und ohne Fehler analysieren. Das IT-Sicherheitspersonal baut darauf auf und interpretiert die Muster des Datenverkehrs. Zugleich leitet es anhand erprobter Abläufe die Abwehr.

Der Mensch ist zudem durch seine Kenntnis des Unternehmens und der IT ein wichtiger Trainer der KI. Hier beschleunigt er die Definition normaler und damit legitimer Datenübertragungen – unter anderem durch das Taggen IT-sicherheitskritischer Systeme. Er berücksichtigt zusätzlich solche Informationen, die im Netzverkehr nicht sichtbar sind: Wenn etwa Geräte vorhanden, aber nicht zentral verwaltet sind, oder wenn ein Unternehmen einen neuen Sitz aufbaut, was Anfragen mit bis dahin ungewöhnlichen IP-Adressen erklärt. Oder wenn es neue Technologien, Anwendungen und damit Systeme implementiert.

2. Informationen im Kontext bewerten:
Künstliche Intelligenz ist ein statistischer Ansatz. Da es für das Erkennen, die Abwehr und die Prävention von Gefahren Zusammenhänge braucht, die über Einzeldaten hinausgehen, spielt der Mensch und seine Urteilsfähigkeit eine wichtige Rolle.

Konkretes Unternehmenswissen hilft zum Beispiel dann, wenn ein von einem Unternehmen beauftragter IT-Dienstleister plötzlich in einem Subnetz agiert, für das er überhaupt keinen Auftrag hat. Selbst wenn das Datenverkehrsmuster zunächst unauffällig erscheint, so weist das Überschreiten der Kompetenzen eventuell auf einen kompromittierten IT-Dienstleister hin und ist zu überprüfen.

3. Die nächsten Schritte des Hackers vorwegnehmen:
Komplexe Advanced Persistent Threats sind immer noch Menschenwerk. Hinter Phishing-Angriffen auf wichtige Personen im Unternehmen stehen oft keine Spambots, sondern menschliche Social-Engineering-Profis, die durch einen gezielt gesendeten Mail-Anhang ins Netz gelangen. KI erkennt dann, dass ein menschlicher Angreifer sich im Netz zu schaffen macht.

Die individuelle Taktik des Hackers bildet sich aber nicht durch statistische Indikatoren ab. Um die nächsten Schritte des Angreifers vorwegzunehmen, kann sich ein erfahrener Sicherheitsanalyst in den Hacker hineinversetzen und dessen nächsten Schritte voraussehen.

4. Gesamtheitliche Tätermotivation erfassen:
Eine Cyberabwehr muss die Motive eines Kriminellen berücksichtigen. Nicht jeder Angreifer will Daten entwenden, verschlüsseln und Lösegeld erhalten. Hacker haben verschieden Motive: Das Kapern von Ressourcen, um Bitcoins zu schürfen, eine vielleicht politisch oder persönlich motivierte Sabotage oder einfach die Lust am Zerstören. Somit darf eine Abwehr nicht nur Daten sichern oder Informationslecks schließen. Eine nachhaltige Reaktion verlangt zum Teil auch ein Verständnis der menschlichen Psyche.

5. Relevante und priorisierte Sicherheit anstatt Abwehr-Automatismen:
IT-Sicherheitsanalystinnen und -analysten priorisieren Risiken individuell für ein Unternehmen. Dabei erfolgt die Wahl der Abwehr je nach Kontext: Handelt es sich um wiederbeschaffbare Daten, die möglicherweise gar keinen Wert mehr für das Unternehmen haben oder um die vielzitierten Kronjuwelen? Daraus resultierende Fragen nach einer situationsgerechten Abwehr kann eine KI nicht beantworten.

Zudem hat der Mensch als Analyst den Blick für branchentypische Angriffe. Greifen Hacker das Unternehmen X aktuell mit einer Malware an, ist nicht ausgeschlossen, dass sie es danach bei Konkurrent Y und Z versuchen. Eine KI, die nur das eigene Netz im Blick hat, sieht ein solches Risiko nur, wenn eine hochaktuelle Threat Intelligence sie unterstützt.

6. Abwehr leiten und Kollateralschäden vermeiden:
Eine KI ist sehr gut darin, eine Gefahr zu erkennen und kann eine Abwehr automatisch starten. Jede Verteidigung hat jedoch Nebenwirkungen und kann IT- oder Geschäftsabläufe beeinträchtigen. Die Abwehr ist unter Umständen nicht weniger komplex und folgenreich als die APT. Somit ist hier menschliches Analysepersonal gefragt, weil diese Kolleginnen und Kollegen die Folgen des Handelns berücksichtigen und abwägen können. Nicht zu rechtfertigende Kollateralschäden, wie etwa das Blockieren eines IoT-gesteuerten Gebäudezugangs oder von IT-Systemen in der Krankenpflege, kann die menschliche Expertise vermeiden.

Beim Nachbereiten eines Angriffes kommt einem Sicherheitsanalysten dann eine wichtige beratende Rolle zu. Er oder sie kann anhand einer gespiegelten Aufzeichnung des gesamten Netzwerkes forensisch nachvollziehen, was passiert ist und wie Angriffe in Zukunft verhindert werden können.

KI und Mensch sind aufeinander angewiesen

IT-Sicherheit ohne KI gehört der Vergangenheit an. Dennoch werden menschliche Sicherheitsexperten nicht überflüssig. Sie bleiben relevant als kontinuierlich interpretierende Instanz von Alarmen, als Betreuer in Krisensituationen und als Berater für eine zukunftssichere IT-Sicherheit. Jede Detection and Response wird idealerweise von einer Managed Detection and Response ergänzt.

* Paul Smit arbeitet als Director Professional Services bei Forenova.

(ID:48657233)