In Kreisen der Cybersicherheit ist dies allgemein als „-Alarmmüdigkeit“ bekannt" – eine Überlastung des Gehirns durch eine Flut von Anomalie-Warnmeldungen, die von Erkennungstools generiert werden – und dies kann der Grund dafür sein, dass schwerwiegende Bedrohungen übersehen werden, da Sicherheitsteams falschen Alarmen nachgehen oder das „Rauschen“ einfach ausblenden.
In letzter Zeit hoffen Sicherheitsexperten jedoch, dass es bald ein Mittel gegen die „Alarmmüdigkeit“ geben könnte: GenAI. Dank ihrer Fähigkeit, wertvollen Kontext beizusteuern, kann sie irrelevante Informationen ausfiltern, um die dringendsten Bedrohungen zu identifizieren und zu priorisieren, und anschließend mögliche Strategien zur Risikominderung vorschlagen – sowie (möglicherweise) noch viel mehr, sollte sich die Technologie so weiterentwickeln, wie es einige Experten erwarten: .
Die Überwachung von Anomalien (ein Begriff aus der Cybersicherheitsbranche für alles Ungewöhnliche oder Unerwartete innerhalb eines Systems, wie beispielsweise einer Anwendung oder eines Netzwerks) ist komplex und aufwendig, erklärt Scott Crawford, Leiter der Forschung im Bereich Informationssicherheit bei 451 Research. Die hohe Alarmrate ist auf die Komplexität moderner Systeme, die Schwierigkeit, den gesamten relevanten Kontext der Umgebung zu erfassen, die Art des Angriffs sowie auf die Tatsache zurückzuführen, dass die Sicherheitswerkzeuge von „ “ so konfiguriert sind, dass sie überwachen, um Anomalien ordnungsgemäß zu erkennen.
„In der Vergangenheit haben sich Anomalieerkennungs-Engines bei sehr spezifischen Datensätzen mit gut definierten Referenzwerten bewährt“, erklärt Wim Remes, Betriebsleiter beim Sicherheitsdienstleister Spotit. Nach Ansicht von Remes muss eine sinnvolle Anomalieerkennung eine Antwort auf zwei konkrete Fragen liefern: Wird etwas beobachtet, das für die Umgebung ungewöhnlich ist, und worauf ist die Anomalie höchstwahrscheinlich zurückzuführen?
Die Fähigkeit, diese zweite Frage zu beantworten, ist es, was die traditionelle, in ihrem Umfang begrenzte Anomalieerkennung von den durch KI gestützten Versionen der nächsten Generation unterscheidet.
Wenn das System zur Erkennung von Anomalien lediglich die erste Frage beantworten kann, dient es in erster Linie als sehr grobe Erkennungsmaschine mit einer hohen Falsch-Positiv-Rate. „Wenn sich die KI-basierte Anomalieerkennung dauerhaft durchsetzen wird, sollte sie sich meiner Meinung nach dahingehend weiterentwickeln, dass sie umfangreichere Datensätze mit höherer Genauigkeit auswertet“, sagt Remes.
Die Zukunft der Anomalieerkennung mithilfe von KI
Das Erkennen von Anomalien kann darauf hindeuten, dass etwas nicht stimmt, wie beispielsweise die Malware „ “ oder aktive Angreifer.
“„Wenn sich die KI-gestützte Anomalieerkennung dauerhaft durchsetzen wird, sollte sie sich meiner Meinung nach dahingehend weiterentwickeln, dass sie umfangreichere Datensätze mit höherer Genauigkeit auswerten kann.“Wim Remes, Betriebsleiter bei Spotit
In der Vergangenheit haben Einbruchserkennungssysteme und Anti-Malware-Software Signaturen verwendet, um Malware und die Ausführung von Exploits zu erkennen. Im Laufe der Zeit wurden Funktionen für maschinelles Lernen (ML) sowie Verhaltensanalysen hinzugefügt, um bislang noch nicht identifizierte Artefakte zu erkennen. Und nun besteht die Aussicht, dass GenAI die bisherigen KI-/ML-Fähigkeiten noch weiter verbessern wird. Dank seiner fortschrittlichen Mustererkennung und seiner Leistungsfähigkeit bei der Datengenerierung verfügt GenAI über das Potenzial, immer genauere Umwelt- und Verhaltensmodelle zu erstellen, die subtile Abweichungen vom normalen Verhalten erkennen, potenzielle Angriffsszenarien simulieren und sich in Echtzeit an sich ständig weiterentwickelnde Bedrohungen anpassen können.
„Die aktuelle Diskussion wird durch die Durchbrüche beim Einsatz generativer KI vorangetrieben“, sagt David Gruber, leitender Cybersicherheitsanalyst beim Marktforschungsunternehmen Enterprise Strategy Group. „Die bisher verwendeten traditionellen KI-Modelle für maschinelles Lernen haben hervorragende Arbeit geleistet, indem sie Signale miteinander verknüpft haben, die auf potenzielle Muster verdächtigen Verhaltens hindeuten“, sagt Gruber. „Generative KI trägt dazu bei, traditionelle Erkennungsmodelle für maschinelles Lernen und KI um diese neue Ebene zu erweitern, aber sie hilft dem Analysten zudem dabei, viele der Aufgaben zu automatisieren und miteinander zu verknüpfen, die er bisher teilweise manuell erledigen und für die er auf sein eigenes Fachwissen zurückgreifen musste“, fügt er hinzu.
Allerdings geht KI über das herkömmliche maschinelle Lernen bei der Erkennung von Bedrohungen durch „ “ hinaus.
Wie KI die Erkennung von Anomalien um logisches Denken erweitert
Ist das System korrekt eingestellt, kann herkömmliches maschinelles Lernen Anomalien in Datenmustern effektiv erkennen. GenAI-Systeme versprechen, „Schlussfolgerungen“ hinsichtlich des Kontexts der Ergebnisse zu liefern und auf der Grundlage komplexer Variablen Vorschläge zu unterbreiten.
“[Die KI] unterstützt den Analysten dabei, viele der Aufgaben zu automatisieren und miteinander zu verknüpfen, die er bisher größtenteils manuell erledigen und auf seine eigene Wissensbasis zurückgreifen musste.“David Gruber, leitender Analyst für Cybersicherheit bei der Enterprise Strategy Group
Das bedeutet, dass die KI für Sicherheitsfachleute zunächst eine Bedrohung identifiziert, anschließend bewertet, welche Auswirkungen diese spezifische Bedrohung auf die Umgebung haben könnte, und schließlich eine Reihe möglicher Strategien zur Risikominderung vorschlägt.
Gruber erläutert, dass solche GenAI-Anwendungen dazu beitragen, die Sichtweise von Sicherheitsexperten auf den Einsatz von KI im Rahmen von Sicherheitsoperationen zu verändern. Es geht nicht nur darum, Anomalien zu erkennen, sondern sie im Kontext der Umgebung, in der sie auftreten, vollständig zu verstehen. „Stellen wir im Zusammenhang mit der Infrastruktur, dem festgelegten Risikoprofil, der bisherigen Bedrohungshistorie des Unternehmens oder dem aktuellen Geschäftsumfeld etwas Verdächtiges fest?“ fragt Gruber. GenAI kann Analysten den richtigen Weg weisen.
Multi-Agenten-GenAI-Systeme sind vielversprechend
Zwar sind Multi-Agenten-Systeme (die anstelle einer einzigen, zentralisierten Instanz mehrere Komponenten zur Überwachung der Umgebung einsetzen) im Bereich der Cybersicherheit nichts Neues, doch verspricht die generative KI (GenAI), die Art und Weise zu revolutionieren, wie Sicherheitsagenten, die unterschiedliche Aufgaben erfüllen, zusammenarbeiten können. Zahlreiche autonome Agenten, die im Einklang miteinander agieren , werden in der Lage sein, den gesamten Kontext des Umfelds einer Organisation, die erkannten Bedrohungen sowie die besten Reaktionsmöglichkeiten zu bewerten.
Da einige Agenten den Netzwerkverkehr überwachen, andere die Systemprotokolle, das Nutzerverhalten, Fehlkonfigurationen im System und Sicherheitslücken überwachen und wieder andere nach aktiven Bedrohungen Ausschau halten, könnte das GenAI-System ein differenziertes Verständnis einer potenziell risikobehafteten Situation entwickeln. Dies würde zudem eine erhebliche Entlastung für die Teams im Bereich der Bedrohungsanalyse bedeuten, die derzeit unter dem Druck stehen, jede einzelne zufällige Bedrohung bewerten und darauf reagieren zu müssen.
Hoffentlich ermöglicht dies eine gründlichere Lagebeurteilung und hilft dabei, die Warnmeldungen zu priorisieren, die sofortige Aufmerksamkeit erfordern.
Das umfassendere Kontextverständnis von GenAI
GenAI-Systeme versprechen, nicht nur den Kontext des internen technologischen Umfelds zu verstehen, sondern auch weiterreichende Ereignisse, wie beispielsweise geopolitische Umstände, unternehmensspezifische Bedrohungen sowie die Art der Bedrohungsakteure, die es auf bestimmte Branchen abgesehen haben.
“„GenAI kann einen Großteil der Vorarbeit leisten, um … mehr Kontextinformationen auf den Bildschirm zu bringen.“Gruber
Da dieses System in der Lage ist, Zusammenhänge zwischen externen und internen Bedingungen darzustellen, anstatt lediglich eine Warnmeldung auszulösen, sobald eine Bedrohung in einem Muster erkannt wird, ist eine wesentlich differenziertere Analyse von Bedrohungen möglich.
„GenAI kann einen Großteil der Vorarbeit leisten, um diesen Kontext für die Analysten zu ermitteln. Dadurch werden ihnen mehr kontextbezogene Informationen auf dem Bildschirm angezeigt und so miteinander verknüpft, dass sie leichter zu den entscheidenden Erkenntnissen darüber gelangen, was gerade geschieht und welche potenziellen Auswirkungen dies hat“, sagt Gruber.
Zusammenarbeit zwischen Mensch und KI – und Vorsicht
Experten gehen davon aus, dass GenAI-Systeme von im Laufe der Zeit mit menschlichen Analysten zusammenarbeiten werden – und zwar auf eine Weise, die speziell auf die Stärken und Neigungen der einzelnen Teammitglieder zugeschnitten ist. Anhand von Analystenfeedback, Kompetenzbewertungen und der Erkennung von Arbeitsmustern wird die KI beispielsweise die Stärken, Schwächen und mögliche Voreingenommenheiten bestimmter Teammitglieder erkennen und entsprechend deren Kompetenz- und Bewusstseinsniveau mit ihnen zusammenarbeiten. Im Falle von Bedrohungen schlägt das System möglicherweise die Zusammenarbeit bestimmter Analysten vor, basierend auf deren Kompetenzen.
Die Begeisterung über das Potenzial dieser Technologie ist groß, doch die Entwicklung befindet sich noch in einem frühen Stadium, und nicht jeder ist davon überzeugt, dass sie ihre Versprechen tatsächlich einlösen kann. „Leider habe ich mit GenAI-basierten Systemen zur Erkennung von [Anomalien] in der Umgebungsinformation keine großen Erfolge erzielt.“ „Sie funktionieren nur in Umgebungen mit einem einzigen Anbieter“, sagt Remes. Er fügt hinzu, dass sich nur sehr wenige Organisationen – und zwar vor allem deutlich größere – dafür entschieden haben, eine monolithische Sicherheitsstrategie zu verfolgen. „Ich halte das ebenfalls nicht für eine besonders gute Strategie, daher gehe ich nicht davon aus, dass viele diesen Schritt wagen werden“, sagt Remes.
Auch wenn eine solche Vorsicht ihre Berechtigung hat, ist die Technologie unbestreitbar vielversprechend und wird sich von nun an nur noch weiter verbessern. Wenn man bedenkt, wie viele Stunden ein typischer Sicherheitsanalyst damit verbringt, Fehlalarmen nachzugehen, wird ein zukünftiges System, das verspricht, diesen Arbeitsaufwand drastisch zu reduzieren, sicherlich von den meisten begrüßt werden.
