Netzwerktelemetrie & Observability Warum KI‑Security Netzwerksichtbarkeit braucht

Anbieter zum Thema

WatchGuard Technologies GmbH

Fortinet Deutschland GmbH

Impossible Cloud GmbH

Hybrid-Cloud-Umgebungen sind voller Blind Spots: East-West-Traffic läuft lateral, Verschlüsselung tarnt Attacken – und die KI-Security fischt meist im Trüben. Der Ausweg? Deep Observability und Netzwerktelemetrie, damit KI nicht zur gefährlichen Blackbox wird.

KI steckt längst in der operativen IT‑Security, von Bedrohungserkennung über Incident Investigation bis hin zu Compliance-Überprüfungen – die Einsatzmöglichkeiten der Technologie sind vielfältig. Das größtes Problem der KI-Nutzung bleibt jedoch meist unsichtbar: In den komplexen Netzwerken von heute gibt es viele Blind Spots. Um Einblicke in diese Blind Spots zu bekommen, setzt Ali Moniri, Technical Lead EMEA bei Gigamon, auf Netzwerktelemetrie und Deep Observability.

KI-Sichtbarkeit braucht mehr als Logs

Frühe Projekte mit KI-gestützten Analysen für Sicherheit und Leistung haben sich hauptsächlich auf Logs und Events gestützt. Diese sind zwar nützlich, zeigen jedoch nur, was die Systeme melden, und nicht, was tatsächlich auf der Netzwerkebene vor sich geht. Diese Unterscheidung ist allerdings besonders wichtig, da es längst zum Standard-Repertoire von Cyberkriminellen gehört, die Meldungen von Logs und Endpoint-Detection-Systemen zu manipulieren.

Das Problem: In Umgebungen, die sich heute über Rechenzentren, Clouds, virtuelle Maschinen und Container erstrecken, gibt es eine Vielzahl von Aktivitäten, die über den Horizont von Logs hinausreichen. Als Beispiele nennt Moniri beispielsweise sogenannten „East-West-Traffic“, der sich lateral zwischen Hosts und Workloads bewegt. Zudem kann auch verschlüsselte Kommunikation riskante Aktivitäten verschleiern. Auch DNS- und TLS-Aktivitäten würden häufig einen Hinweis auf Bedrohungen im Frühstadium geben.

Ohne Einblick in den fließenden Traffic ist KI darauf angewiesen, mit unvollständigen, manchmal sogar irreführenden Datensätzen zu arbeiten. Dies kann dazu führen, dass Angriffe nicht erkannt werden, wenn sie sich nur gut genug ins Log-Rauschen einfügen. Andererseits können auch übertriebene Warnmeldungen ausgegeben werden, wenn Systeme auf Teilinformationen überreagieren. Dies kostet letztlich Zeit, da Teams manuell rekonstruieren müssen, was tatsächlich passiert ist.

Netzwerktelemetrie: Offene Motorhaube für KI-Anwendungen

Für Moniri liegt die Lösung dieser Probleme in der Sichtbarmachung der genannten blinden Flecken, die mithilfe von Netzwerktelemetrie aufgedeckt werden können. Netzwerktelemetrie liefere direkte, kontinuierliche Messdaten aus sämtlichen Netzwerkbereichen — physisch, virtuell, in der Cloud und in Containerumgebungen. So wird sichtbar, welche Systeme und Anwendungen miteinander kommunizieren, wohin Datenströme abfließen, welche Protokolle und Anwendungen genutzt werden und wo sich ungewöhnliche Traffic‑Muster oder Anomalien zeigen.

Mehr Durchblick in komplexen IT-Infrastrukturen

Computacenter und Splunk: Wachstumstreiber Observability

Deep Observability: Datenaufbereitung für KI

Allerdings sind die mittels Netzwerktelemetrie erfassten Rohdaten noch nicht für die Massenverarbeitung durch KI-Lösungen aufbereitet. Hier kommt eine Deep Observability Pipeline ins Spiel: In dieser kann der Netzwerkverkehr analysiert und in strukturierte, angereicherte Telemetriedaten umgewandelt werden, die KI-gestützte Systeme tatsächlich verwenden können. Der Datenverkehr wird somit klassifiziert, kontextualisiert und in Metadaten überführt, die reales Verhalten widerspiegeln, statt auf Annahmen zu basieren. Dazu zählen beispielsweise:

• die Anwendungsidentität selbst bei manipulierten Ports,

• DNS-Muster mit Hinweisen auf Tunneling oder Command‑and‑Control

• der TLS‑Status, einschließlich schwacher Verschlüsselung und fehlerhafter Zertifikate.

• Ergänzt wird dies durch Leistungsindikatoren auf Netzwerk‑ und Anwendungsebene, Verbindungen zu verdächtigen Zielen und verschlüsselten Traffic, der gegen Sicherheits‑ oder Compliance‑Vorgaben verstößt.

Netzwerktelemetrie: Mehrwert über Security hinaus

Auf diese Weise können aus dem Netzwerk abgeleitete Anwendungsmetadaten auch zu einem Multiplikator für bestehende Tools werden. Moniri zufolge ist Netzwerktelemetrie über die IT-Security hinaus wertvoll: Dank der bereitgestellten Informationen können KI-Systeme die Performance Netzwerk-, Anwendungs- und Infrastruktur-Ebenen hinweg analysieren und somit auch bei drohenden Leistungsproblemen Alarm schlagen.

Blinde Flecken gefährden die Netzwerksicherheit

4 Blind Spots, die Unternehmen auf dem Schirm haben sollten

(ID:50797200)