Fans von RoboCop, der Science-Fi-Aktionsflick über einen Strafverfolgungsroboter, der als perfekte Mischung aus menschlichem Urteilsvermögen und Maschinenautomatisierung entwickelt wurde, erkennen vielleicht nicht, dass es einen guten Grund gibt, ihn erneut anzuschauen: Der Kultklassiker enthält heute einige überraschende Anleitungen zur Cybersicherheit.
Im Ernst, wenn Sie es schon eine Weile – oder jemals – nicht gesehen haben, lohnt sich RoboCop Streaming, da die Probleme, mit denen es sich befasst, bemerkenswert ähnlich sind wie die Führungskräfte in Unternehmen und Sicherheit, da sie überlegen, wie sie KI am besten nutzen können, um die Cybersicherheit im Allgemeinen zu verbessern , insbesondere im Bereich der Sicherheitsorchestrierung, Automatisierung und Reaktion (SOAR), wo KI-Fortschritte in der Lage scheinen, schnelle Verbesserungen vorzunehmen.
Schnelle Backstory: Vor vierzig Jahren kaufte Orion Pictures das Drehbuch an RoboCop, aber es dauerte zwei Jahre, um einen Regisseur zu finden und den Film fertigzustellen. Paul Verhoeven lehnte es zweimal ab, bevor er sich anmeldete, um das zu steuern, was heute als sein filmisches Meisterwerk gilt. Das Zusammenspiel von Unternehmenskultur Satire, dunklem Humor und Übergewalt folgt den Exploits von Murphy, einem Polizeidetektiv, der fast durch Stiche getötet und dann von Wissenschaftlern wiederbelebt wird, die ihn in diesen Halbmann-, Halbmaschinen-Hybrid verwandeln, mit einem Waffenholster, der in einem Titanschenkel eingeschlossen ist. Hey, was könnte schiefgehen, oder?
Die unbeabsichtigten Folgen seiner Programmierung (und ein wenig verhedderte Menschheit, die in all diesem Metall verweilt) verursachen Ärger und lassen die wissenschaftlichen und unternehmerischen Oberherren des Cyborgs ihre Köpfe kratzen.
Und hier befinden sich die Cybersicherheitsexperten von heute.
Da Cyberangriffe Unternehmen mit beispiellosen Geschwindigkeiten treffen, haben viele große Unternehmen in ihre SOAR-Funktionen investiert, um sie in bestehende Sicherheitstoolsets zu integrieren und routinemäßige Sicherheitsaufgaben zu automatisieren. Egal, ob es sich um die automatische Einleitung von Sicherheitswarnungsuntersuchungen und Bedrohungsreaktionen, die Isolierung infizierter Maschinen oder die Orchestrierung komplexer Sicherheitsworkflows handelt, die auch als Playbooks bekannt sind, das Ziel war dasselbe: Reduzieren Sie die Zeit, die für die Erkennung und Reaktion auf Sicherheitsvorfälle benötigt wird.
Unternehmen investieren auch in diese SOAR-Plattformen, in der Hoffnung, Alarmermüdung und überlastetes Personal anzugehen. Scott Crawford, Research Director des Informationssicherheitskanals bei S&P Global Market Intelligence, sagt, dass etwa die Hälfte der Endbenutzerunternehmen, die er konsultiert hat, so überwältigt von Sicherheitswarnungen sind, dass sie nicht alle in angemessener Zeit darauf reagieren können. Laut dem B2B Marktforschungsunternehmen MarketsandMarkets ist dies ein Grund dafür, dass der weltweite Markt für SOAR-Tools 2022 rund 1,1 Milliarden US-Dollar erreichte und bis 2027 fast 2,3 Milliarden US -Dollar erreichen wird.
Viele Unternehmen fanden die Implementierung ihrer SOAR-Plattformen und -Prozesse enttäuschend. Die Gründe dafür sind vielfältig und sie werden wahrscheinlich die Herausforderungen im Voraus erkennen, denen Unternehmen bei der Integration von KI in ihre SOAR-Systeme gegenüberstehen werden.
Warum sich Playbooks mit SOAR weiterentwickeln (oder nicht)
Die Integration von SOAR-Systemen in bestehende Sicherheitstools und -prozesse ist komplex und erfordert eine fachkundige Anpassung, und viele Unternehmen haben Probleme mit Datenzuordnung, Qualität und Konsistenz über verschiedene Datenquellen hinweg, was sich auf die SOAR-Effektivität auswirkt.
„Es gibt viele Anwendungsfälle, die Ihnen in den Sinn kommen, wenn Sie LLM-Technologie auf Sicherheit anwenden – die offensichtlichsten sind Threat Intelligence und Analyse.“Scott Crawford, Research Director des Informationssicherheitskanals, S&P Global Market Intelligence
Das Ergebnis sind viele der „Playbooks“ und ihre Komponenten „Flüsse“ und „Subflüsse“ – voreingestellte automatisierte oder halbautomatische Roadmaps/Workflows, die die Responder durch die richtige Reaktion auf bestimmte Arten von Vorfällen führen, unabhängig davon, ob es sich um Ransomware oder Indikatoren für Kompromittierungen handelt, die auf internen Systemen gefunden werden – entwickeln sich nicht über relativ einfache Sicherheitsaufgaben hinaus, wie z. B. forensische Snapshots oder Systeme offline zu nehmen.
„Obwohl diese Systeme hilfreich sind, haben sie ihr Versprechen nicht vollständig erfüllt“, sagt Michael Farnum, beratender CISO beim Technologiedienstleistungsunternehmen Trace3. „Die bereitgestellte Automatisierung bleibt für die einfachsten Aufgaben erhalten, und das Ergebnis ist, dass sie nicht den Produktivitätsschub gebracht haben, den viele erhofft hatten.“
Andere sind jedoch weiterhin optimistisch, dass KI einen Mehrwert bieten wird, insbesondere für komplexere Sicherheitsaufgaben.
[Lesen Sie auch: Ultimative KI-Cybersicherheitsanleitung – Vorteile, Risiken und Vorteile]
Jason Rader, globaler CISO bei Insight Technology Solutions, war ein früher Anwender generativer KI-Funktionen, die in die Tools integriert waren, die sein Sicherheitsoperationsteam verwendete. „Wir freuen uns über KI-Funktionen in mehreren verschiedenen Produkten“, sagte Rader.
Während es einige Aufgaben rationalisiert hat, haben sich andere Bereiche der KI – insbesondere die Integration von generativer KI – bewährt, um dem Sicherheitsoperationsteam bei zeitaufwendigen, aber wesentlichen Aufgaben wie dem Schreiben von Python-Skripten oder SQL-Abfragen und dem Schreiben von Berichten zu helfen. Andererseits waren einige der integrierten generativen KI-Funktionen in der Orchestrierung und den zugehörigen Plattformen, die er gesehen hat, „weniger als optimal“, fügte Rader hinzu, in Bezug auf Analysen und komplexere Playbooks mit Prozessen, die mehrere Schritte erfordern. „Wir haben noch nicht erwartet, dass dieser [AI] zweckgenau ist“, fügte Rader hinzu.
[Lesen Sie auch: Rennen zur Bereitstellung von GenAI? Sicherheit beginnt mit guter Governance]
Sicherheitsteams haben neue Hoffnung, dass große Sprachmodelle (LLMs) dazu beitragen können, SOAR-Technologien zu verbessern und Sicherheitsteams dabei zu unterstützen, schneller und intelligenter auf Bedrohungen zu reagieren. Die Herausforderung besteht darin, die richtige Mischung aus Programmreife , menschlichem Urteilsvermögen und KI-Entscheidungsfindung und Automatisierung zu erhalten.
Umgestaltung von SOAR-Ops: Fortschrittliche LLMs fördern das Versprechen von KI
Die Fortschritte bei LLMs versprechen, den SOAR-Betrieb von Unternehmen zu transformieren, indem sie eine automatisierte Triage von Vorfällen, Bedrohungserkennung, Reaktion auf Vorfälle, Sicherheitsdatenanalyse, natürlichsprachliche Schnittstellen, adaptive Playbooks und Vorhersagefunktionen bereitstellen. Die Hoffnung besteht darin, dass die KI-Funktionen, die in diesen Tools (oder den benutzerdefinierten LLMs, die Unternehmen intern erstellen) integriert sind, Sicherheitsteams dabei helfen können, alle Bedrohungsinformationen, Sicherheitswarnungen und Ereignisdaten, die aus Netzwerken und Anwendungen generiert werden, besser zu analysieren, die Bedrohungen zu identifizieren, die für ihre Branche und Organisation am wichtigsten sind – und wenn möglich automatisch zu reagieren.
„Es ist noch nicht möglich, aber in Zukunft werden Playbooks von KI-Systemen erstellt, vielleicht sogar spontan erstellt oder zumindest angepasst.“Michael Farnum, beratender CISO, Trace3
Sicherheitsexperten sehen vier Möglichkeiten, wie LLMs bereits damit beginnen, SOAR-Plattformen zu transformieren:
Analyse der Sicherheitsdaten. Diese Systeme können potenzielle Bedrohungen erkennen, indem sie Threat Intelligence und Ereignisdaten von Unternehmenssystemen analysieren. „Es gibt viele Anwendungsfälle, die Ihnen in den Sinn kommen, wenn Sie die LLM-Technologie auf die Sicherheit anwenden – der offensichtlichste ist Bedrohungsintelligenz und -analyse“, sagt Crawford.
Automatische Triage von Sicherheitswarnungen. Diese Datenanalyse kann auch verwendet werden, um die Reaktion auf Vorfälle basierend auf der geschäftlichen Kritikalität der gefährdeten Daten und Systeme und der Konfiguration und dem Status der Sicherheitssysteme, die diese Assets verteidigen, zu priorisieren. Diese Systeme können Analysten geeignete Antwort-Playbooks präsentieren. „Derzeit hilft KI bei der Routine der Playbooks, aber die Playbooks werden wahrscheinlich im Laufe der Zeit komplexer und komplizierterer Aufgaben“, sagt Farnum.
Das erfordert sowohl Innovation (das Schlagwort, das heute alle Geschäftsentscheidungen und Best Practices bestimmt, und damit was Unternehmensleiter mögen) als auch Tests (zeitaufwendig, kostspielig, unexy – das heißt, all die Dinge, die Chief Information Security Officers schwer damit haben, an CEOs und den Vorstand zu verkaufen).
[Lesen Sie auch: Wie CISOs über Cyberrisiken sprechen können, sodass CEOs tatsächlich zuhören]
„Playbooks sind Kombinationen der Skripte und Integrationen, die Sie seit einiger Zeit verwenden, und alle von KI entwickelten Playbooks sollten getestet werden, bevor Sie dieses Playbook in der Umgebung aktiv machen“, sagt Rader.
Erstellung und Optimierung von Playbooks. KI kann historische Vorfalldaten anzeigen, sofort Muster identifizieren, was funktioniert hat und was nicht, und Sicherheitsanalysten anleiten, die effektivsten Playbooks zu erstellen, indem sie sich nur auf die Schritte konzentrieren, die für die Ausführung der Arbeit erforderlich sind. „Es ist noch nicht möglich, aber in Zukunft werden Playbooks von KI-Systemen erstellt, vielleicht sogar spontan erstellt oder zumindest angepasst“, sagt Farnum.
Automatisierte prädiktive Orchestrierung. Mit der gleichen Datenbreite zur Analyse von Threat Intelligence und IT-Umgebungsinformationen kann KI den Vorfall in Echtzeit untersuchen, die besten Reaktionstools entwickeln oder auswählen und Ressourcen sogar intelligent basierend auf Änderungen in der Bedrohungslandschaft neu zuweisen. „Einige dieser Unternehmen sagen, dass sie jetzt, in gewissem Maße, grundlegende Aufgaben erledigen können, mit der Hoffnung, dass die Technologie im Laufe der Zeit reifen wird. Wie effektiv wird es hier sein? Die Jury ist noch aus“, sagte Crawford.
Krabbeln, gehen, laufen...automatisieren
Während diese Funktionen mit KI und SOAR für Unternehmen möglich sind, ohne im Voraus an Daten-Governance- und Sicherheitsprozessen zu arbeiten, riskieren Unternehmen heute die gleichen Herausforderungen, wenn sie versuchen, SOAR zu implementieren, mit denen sie konfrontiert waren, wenn sie versuchen, frühere Generationen von SOAR-Tools bereitzustellen: Komplexität und niedrige Datenqualität.
„Sie können den Reifeschritt nicht überspringen, um zu den KI- und Automatisierungsschritten zu gelangen.“Jason Rader, globaler CISO, Insight Technology Solutions
Bevor Unternehmen KI-gestützte Automatisierung in der Cybersicherheit nutzen, müssen sie sich ihre Sicherheitsreife genau ansehen. Die Automatisierung dieser Prozesse ist nicht optimal, wenn die aktuellen SOAR-Methoden nicht optimal sind. Automatisierungsrisiken verstärken bestehende Schwachstellen und schaffen sogar neue Schwachstellen. Ausgereifte Sicherheitsprogramme verfügen über klar definierte Workflows, hochwertige Daten und erfahrene Teams, die KI-Systeme ordnungsgemäß schulen und überwachen können.
„Sie müssen einen bestimmten Reifegrad innerhalb Ihres Sicherheitsprogramms haben, bevor Sie KI und Automatisierung vollständig nutzen können, da Sie nichts automatisieren können, das in Ihrer Organisation nicht definiert wurde“, sagt Rader. „Und Sie können den Reifeschritt nicht überspringen, um zu den KI- und Automatisierungsschritten zu gelangen. Nachdem Ihr Programm optimiert wurde, können Sie beginnen, mehr zu automatisieren.“
Wie Sie sich am besten auf die Zukunft der KI- und SOAR-Integration vorbereiten
Trotz globaler Spannungen, wirtschaftlicher Unsicherheit und der Zunahme von Cyberbedrohungen ist es immer noch eine aufregende Zeit für die Sicherheit, da KI und Automatisierung beginnen, die Arbeitsbelastung von Analysten auf verschiedene Weise zu reduzieren. Experten glauben jedoch nicht, dass es kurzfristig oder sogar mittelfristig vollautomatische SOCs oder Sicherheitsoperationen geben wird. „Niemand möchte einen weit verbreiteten, selbstzugefügten Denial-of-Service-Angriff überwachen, weil eine KI eine schlechte Entscheidung getroffen hat“, sagt Crawford.
Um sich auf die letztendlichen Ebenen der KI- und SOAR-Integration vorzubereiten, die Experten erwarten, empfiehlt Rader Organisationen, ihre bestehenden Prozesse zu entwickeln und ihre Datenquellen und Governance zu verbessern. Er empfiehlt auch, jetzt in eine SOAR-Plattform zu investieren und das Sicherheitsteam damit vertraut zu machen.
„Wenn neue KI- und Automatisierungsfähigkeiten herauskommen, können sie diese Fähigkeiten hinzufügen, weil sie die Plattform verstehen und bereit sind, die KI zu integrieren“, rät er.
Es ist auch wichtig, dass das Sicherheitsteam mit der Plattform und der allgemeinen Richtung der Sicherheitsoperationen interagiert. „Es werden einige Zeit Menschen sein, die mit KI arbeiten, weil wir RoboCop noch nicht erreicht haben“, sagt Rader.
