Was ist KI-Sicherheit?

Die Rolle der KI in der modernen Cybersicherheit verstehen.

Traditionelle Cybersicherheitssysteme konzentrierten sich darauf, den Betriebszustand eines Netzwerks oder Geräts aufrechtzuerhalten.

Moderne Bedrohungen zielen jedoch selten darauf ab, Ausfälle zu verursachen, sondern vielmehr darauf,

• Wertvolle Unternehmensdaten stehlen
• Komplexe Malware-Varianten hinter Perimeterverteidigungen einsetzen

Um die Verteidigungen mit diesen Zielen in Einklang zu bringen, müssen die Sicherheitsmitarbeiter mehr Daten überwachen.

Der Aufstieg von SIEM und EDR

Dieser Wandel des Ziels lässt sich an den Sicherheitstools nachvollziehen, die im Laufe der Zeit populär geworden sind – der Aufstieg von Security Information and Event Management (SIEM)-Tools Anfang der 2010er Jahre führte zu einem verstärkten Fokus auf die Erfassung und Analyse großer Mengen von Protokolldateien.

Seitdem hat die Menge der aufgenommenen Daten zugenommen.

Endgerät Detection and Response (EDR) überwacht beispielsweise kontinuierlich die internen Aktivitäten jedes Firmenlaptops, Telefons und PCs, während Firewalls dasselbe für Aktivitäten auf Netzwerkebene tun. Diese einzelnen Datenelemente werden schneller erzeugt, als sie manuell untersucht werden können.

(Aber sie müssen noch in verwertbare Informationen umgewandelt werden.)

Hier hat die KI, wie das maschinelle Lernen, bedeutende Fortschritte gemacht.

Die Einführung von KI

Es trainiert Algorithmen an großen Datensätzen, aus denen es Netzwerk- oder Malware-Daten in erkennbaren Mustern organisiert. Diese Muster können dann auf neue Datensätze angewendet werden, sodass Anomalien automatisch erkannt werden können, wie zum Beispiel:

• Ungewöhnliche Anmeldeversuche
• Datenzugriffsmuster

Im Laufe der Zeit passen sich die ML-Modelle an und verbessern ihre Genauigkeit, indem sie kontinuierlich aus neuen Daten lernen.

Dies ist nur eine Möglichkeit, wie KI es menschlichen Cybersicherheitsteams ermöglicht, schneller und effizienter zu arbeiten und ein breiteres Spektrum an Bedrohungsinformationen auszuwerten, als es mit bloßem menschlichen Auge möglich wäre.

KI-Sicherheitsrisiken

Während KI in zahlreichen Branchen vielversprechende und potenzielle Vorteile verspricht, kann sie auch Sicherheitsrisiken mit sich bringen, darunter die folgenden:

• Datenschutzverletzungen: KI-Modelle erfordern große Datenmengen für das Training. Das Sammeln und Verwenden dieser großen Datensätze birgt das potenzielle Risiko, dass sie von einem Angreifer ausgebrochen werden.
• Gegnerische Angriffe: Die Integration von KI in verschiedene Prozesse birgt das Risiko, dass Cyber-Angreifer die KI ins Visier nehmen. Beispielsweise könnten Angreifer versuchen, die Trainingsdaten zu manipulieren oder gegnerische KI-Systeme zu trainieren, um Fehler im KI-Modell zu erkennen, die es ermöglichen, diese zu umgehen oder auszunutzen.
• Voreingenommenheit und Diskriminierung: KI-Modelle werden auf der Grundlage gekennzeichneter Trainingsdaten erstellt. Wenn diese Daten Verzerrungen enthalten – beispielsweise überwiegend Bilder bestimmter demografischer Gruppen –, lernt das KI-Modell dieselben Verzerrungen.
• Mangelnde Transparenz: KI kann Trends erkennen und komplexe Zusammenhänge erkennen. Seine Modelle sind jedoch nicht transparent oder interpretierbar, so dass es unmöglich ist, Fehler oder Verzerrungen im endgültigen Modell zu identifizieren.

Wie kann KI helfen, Cyber-Angriffe zu verhindern?

Die Verbreitung von leistungsstarker KI ist eine treibende Kraft für strengere und genauere Sicherheitskontrollen und Arbeitsabläufe. Da KI je nach den Trainingsdaten in völlig unterschiedlichen Formaten implementiert werden kann, sind die folgenden Anwendungsfälle nach den Sicherheitstools gruppiert, die die KI implementieren.

KI in der Netzwerksicherheit

Die Implementierung von KI in der Netzwerksicherheit kann von der Identifizierung verdächtiger externer Verbindungen bis hin zur Implementierung einer strengeren Netzwerksegmentierung reichen.

Automatisierte Erkennung von Identitäten

Die rollenbasierte Zugriffskontrolle (RBAC) ist eine Methode zur Implementierung von Netzwerksicherheit nach dem Prinzip der minimalen Berechtigungen.

Anstatt statischen Personengruppen pauschale Berechtigungen zu vergeben – was sehr zeit- und ressourcenaufwendig ist – verknüpft RBAC spezifische Rollen mit den Berechtigungen, die ihre Aufgaben widerspiegeln. Die Benutzer werden dann diesen Rollen zugewiesen und erben automatisch die damit verbundenen Berechtigungen.

Beispielsweise kann einem neuen Mitarbeiter die Rolle „Datenbankadministrator“ zugewiesen werden; die entsprechenden Berechtigungen wären:

• Datenbanken erstellen und löschen
• Datensicherung und -Wiederherstellung

Diese expliziten Berechtigungen würden sich völlig von denen in einer „Buchhalter“-Rolle unterscheiden.

KI beschleunigt die Einführung von RBAC dank ihrer Fähigkeit, Identitäten automatisch zu erkennen. Neue Tools für die Netzwerksicherheit können Logins, Dateizugriffe und die Nutzung von Anwendungen abteilungsübergreifend scannen, um dann ein Profil dessen zu erstellen, worauf echte Mitarbeiter tagtäglich zugreifen.

Sollte es erkennen, dass eine bestimmte Gruppe regelmäßig auf Buchhaltungssoftware zugreift, Lohndaten bearbeitet und monatliche Berichte erstellt, kann es automatisch eine „Finance-Analyst“-Rolle vorschlagen. Neue Mitarbeiter mit ähnlichen Aufgaben können diese Rolle dann automatisch zugewiesen bekommen, was das RBAC-Onboarding vereinfacht.

Echtzeit-Bedrohungsklassifikation

Die Netzwerksicherheit wird von der zustandsbehafteten Firewall dominiert. Ein bewährter Ansatz, der die ein- und ausgehenden Verbindungen zwischen Unternehmensgeräten und dem öffentlichen Internet überwacht, bleibt seit der Erfindung von Check Point im Jahr 1993 eine Bastion der Sicherheit.

Mit KI können Firewalls jedoch weitaus mehr des Workflows zur Bedrohungserkennung automatisieren: Dies kann sowohl auf eingehenden Datenverkehr als auch auf die Bewertung der Legitimität externer Websites angewendet werden.

Zum Beispiel sind KI-gestützte Firewalls auf markierte Netzwerkverkehrsdaten vortrainiert.

Da das KI-Modell sehr geschickt darin ist, bösartige Netzwerkaktivitäten zu erkennen und zu kennzeichnen, kann die Firewall unterschiedliche Richtlinienverstöße in das Gesamtbild eines realen Angriffs einordnen.

Firewall der nächsten Generation

Next-Generation Firewalls erweitern diese Funktion über Warnetiketten hinaus und bieten automatisierte Reaktionsmöglichkeiten entsprechend dem vermuteten Angriffstyp. Dies könnte Folgendes umfassen:

• Automatisierte Aktualisierung der internen Verkehrsrichtlinien
• Isolierung der Kommunikation zu einem infizierten Subnetz

Letztmaßnahme-Reaktionsfähigkeiten, wie das Verschieben von Verkehr auf dedizierte Failover-Server, müssen manuell über Playbooks zur Firewall hinzugefügt werden, um die Geschäftskontinuität sicherzustellen.

Firewall-KI kann nicht nur den internen Datenverkehr analysieren: Je nach Firewall-Anbieter bieten einige auch eine URL-Kategorisierung an. Hierbei wird KI-gestützte Verarbeitung natürlicher Sprache (NLP) eingesetzt, um URLs nach ihrer Sicherheit zu kategorisieren.

Gefährliche oder unangemessene Websites können auf Firewall-Ebene blockiert werden, was zu maximaler Sicherheit führt.

Prävention von Zero-Day-Angriffen

Während die überwiegende Mehrheit der Angriffe auf vorab festgelegten Angriffsvektoren basiert, gibt es einen äußerst lukrativen Schwarzmarkt für Zero-Day-Schwachstellen. Diese sind gerade deshalb so wertvoll, weil es für diese Schwachstellen noch keine Patches gibt.

(Und wenn sie gegen Firewalls eingesetzt werden, können sie ein großes Sicherheitsproblem darstellen.)

Eine KI-gestützte Firewall kann vor Zero-Day-Exploits schützen, indem sie eine Basislinie normaler Netzwerkaktivität erstellt. So kann es z.B. für jede Benutzerrolle ein typisches Datenvolumen aufzeichnen. Wenn die Firewall zu einer ungewöhnlichen Uhrzeit einen plötzlichen Anstieg der Datenübertragung zu einem externen Server feststellt, kennzeichnet oder blockiert sie die Aktivität als potenziell bösartig.

Mit derselben Technik lassen sich auch ansonsten ungepatchte Anwendungen schützen.

KI in der Endgerätesicherheit

Sichere Endgeräte sind jetzt ein integraler Bestandteil der Unternehmenssicherheit. Im Kern erfasst Endpoint Detection and Response (EDR) detaillierte Telemetriedaten von diesen Endgeräten, wie zum Beispiel:

• Prozessausführung
• Eltern-Kind-Prozessbeziehungen.
• Dateiinteraktionen wie Erstellung, Änderung und Löschung.

Diese Daten sind umfangreich, aber komplex, was sie ideal für KI-Analysen macht.

Endgerätbasierte Verhaltensanalyse

KI ermöglicht die prädiktive Bedrohungserkennung, indem sie lernt, wie normales Verhalten aussieht und subtile Anomalien erkennt, die auf böswillige Aktivitäten hinweisen können.

Dies macht es besonders geschickt bei der Erkennung von komplexer oder ausgeklügelter Malware, die Verschleierungstechniken wie das Aushöhlen von Prozessen einsetzt – oder sogar, wenn ein bösartiger Prozess einen legitim aussehenden Namen trägt. Da EDR überwacht, welcher Prozess mit welcher Datei interagiert, kann seine KI erkennen, wann ein Hintergrundprozess auf sensible Dateien zugreift, auf die er normalerweise keinen Zugriff hätte.

Durch diese Abweichung kann ein Alarm ausgelöst werden, lange bevor ein erfolgreicher Angriff durchgeführt wird.

Prädiktive Analytik

Da verschiedene Malware-Stämme unterschiedlich wirken, kann eine EDR-KI Trendmuster innerhalb eines laufenden Angriffs erkennen und vorhersagen, welche Systeme oder Benutzer wahrscheinlich als nächstes ins Visier genommen werden. Wenn beispielsweise die Kontoübernahme die vermutete Ursache eines Angriffs ist, kann es prüfen, auf welche Datenbanken das Konto Zugriff haben könnte.

Wenn das EDR in die Firewall integriert ist, kann dies automatisch in entsprechende Änderungen der Firewall-Richtlinien umgewandelt werden.

Vorteile der Nutzung von KI-Technologien in der Sicherheit

KI bietet erhebliche potenzielle Vorteile für die Cybersicherheit von Unternehmen, darunter:

• Verbesserte Bedrohungserkennung: KI kann große Mengen an Sicherheitswarnungen analysieren und echte Bedrohungen genau identifizieren. Dies ermöglicht es Sicherheitsteams, potenzielle Eindringlinge schneller zu erkennen und darauf zu reagieren.
• Schnelle Behebung von Vorfällen: Nachdem ein Sicherheitsvorfall identifiziert wurde, kann KI auf der Grundlage von Playbooks eine automatisierte Behebung durchführen. Dies beschleunigt und rationalisiert den Incident-Response-Prozess und verringert die Fähigkeit von Angreifern, dem Unternehmen Schaden zuzufügen.
• Verbesserte Sicherheitstransparenz: KI kann große Datenmengen analysieren und nützliche Erkenntnisse und Bedrohungsinformationen gewinnen. Dies kann Unternehmen einen besseren Einblick in den aktuellen Zustand ihrer IT- und Sicherheitsinfrastruktur geben.
• Höhere Effizienz: KI kann viele sich wiederholende und untergeordnete IT-Aufgaben automatisieren. Dies entlastet nicht nur das IT-Personal und verbessert die Effizienz, sondern stellt auch sicher, dass diese Aufgaben regelmäßig und korrekt ausgeführt werden.
• Kontinuierliches Lernen: KI kann im aktiven Betrieb kontinuierlich lernen und ihre Modelle aktualisieren. Auf diese Weise kann es lernen, die neuesten Cyber-Bedrohungskampagnen zu erkennen und darauf zu reagieren.

KI-Sicherheitsempfehlungen und Best Practices

Zu den bewährten Sicherheitspraktiken für die Implementierung von KI gehören die folgenden:

• Stellen Sie die Qualität der Trainingsdaten sicher: KI ist nur so genau und effektiv wie ihre Trainingsdaten. Beim Aufbau von KI-Systemen und -Modellen ist die Sicherstellung der Korrektheit der gekennzeichneten Trainingsdaten von entscheidender Bedeutung.
• Berücksichtigen Sie ethische Implikationen: Der Einsatz von KI hat ethische Implikationen, da die Möglichkeit einer Voreingenommenheit oder eines Missbrauchs personenbezogener Daten für Schulungen besteht. Stellen Sie sicher, dass Sicherheitsvorkehrungen getroffen werden, um sicherzustellen, dass die Trainingsdaten vollständig sind und die erforderliche Einwilligung erteilt wurde.
• Führen Sie regelmäßige Tests und Aktualisierungen durch: KI-Modelle können Fehler enthalten oder mit der Zeit veraltet sein. Regelmäßige Tests und Aktualisierungen sind unerlässlich, um die Genauigkeit und Benutzerfreundlichkeit des KI-Modells sicherzustellen.
• Implementieren Sie KI-Sicherheitsrichtlinien: Cyber-Bedrohungsakteure können bei ihren Angriffen auf KI-Systeme abzielen. Implementieren Sie Sicherheitsrichtlinien und -kontrollen, um KI-Trainingsdaten und -Modelle vor potenzieller Ausnutzung zu schützen.