In Cybersicherheitskreisen wird sie allgemein als „Alarmermüdung“ bezeichnet – eine Überlastung des Gehirns durch eine Flut von Anomaliewarnungen, die von Erkennungstools generiert werden – und es kann der Grund sein, dass ernsthafte Bedrohungen übersehen werden, da Sicherheitsteams falsch-positive Ergebnisse verfolgen oder einfach das „Rauschen“ ausblenden.
Aber in letzter Zeit hoffen Sicherheitsprofis, dass es bald ein Rezept für die Linderung von Alarmermüdung geben könnte: GenAI. Mit seiner Fähigkeit, wertvollen Kontext hinzuzufügen, kann er das Rauschen herausfiltern, um die dringendsten Bedrohungen zu identifizieren und zu priorisieren, und dann potenzielle Minderungsstrategien bereitstellen – und (potenziell) noch viel mehr, wenn sich die Technologie entwickelt, wie einige Experten erwarten.
Die Überwachung von Anomalien (Cyber-Sprache für ungewöhnliche oder unerwartete Ereignisse innerhalb eines Systems, wie z. B. eine Anwendung oder ein Netzwerk) ist komplex und anstrengend, erklärt Scott Crawford, Forschungsleiter für Informationssicherheit bei 451 Research. Die hohe Alarmrate ist auf die Komplexität moderner Systeme, die Schwierigkeiten bei der Erfassung des gesamten relativen Kontexts der Umgebung, die Art des Angriffs und die Einstellung von Sicherheitstools zurückzuführen, um auf die ordnungsgemäße Erkennung von Anomalien zu achten.
In der Vergangenheit funktionieren Anomalieerkennungs-Engines gut auf sehr spezifischen, gut basierten Datensätzen, erklärt Wim Remes, Operations Manager bei der Sicherheitsdienstleistungsfirma Spotit. Nach Ansicht von Remes muss die nützliche Erkennung von Anomalien eine Antwort auf zwei spezifische Fragen liefern: Ist etwas beobachtet, das anormal für die Umgebung ist, und womit ist die Anomalie am wahrscheinlichsten verbunden?
Die Möglichkeit, diese zweite Frage zu beantworten, unterscheidet traditionelle, begrenzte Anomalieerkennung mit Iterationen der nächsten Generation, die von KI angetrieben werden.
Wenn das Anomalieerkennungssystem nur die erste Frage beantworten kann, dient es hauptsächlich als sehr grobe Erkennungsmaschine mit einer hohen Rate an falsch positiven Ergebnissen. „Wenn die KI-basierte Anomalieerkennung hier bleiben soll, glaube ich, dass sie sich zu einem Verständnis breiterer Datensätze mit höherer Genauigkeit entwickeln sollte“, sagt Remes.
Die Zukunft der Anomalieerkennung mit KI
Das Erkennen von Anomalien kann darauf hinweisen, dass etwas unangenehm ist, wie Malware oder aktive Angreifer.
„Wenn die KI-basierte Anomalieerkennung hier bleiben soll, glaube ich, dass sie sich zu einem besseren Verständnis breiterer Datensätze mit höherer Genauigkeit entwickeln sollte.“Wim Remes, Betriebsleiter, Spotit
In der Vergangenheit haben Intrusion Detection-Systeme und Anti-Malware-Software Signaturen verwendet, um Malware und Exploits zu erkennen, die ausgeführt werden. Im Laufe der Zeit wurden maschinelles Lernen (ML) und Verhaltensanalysefunktionen hinzugefügt, um Artefakte zu erkennen, die noch identifiziert werden müssen. Und jetzt besteht die Aussicht, dass GenAI frühere KI/ML-Funktionen verbessern wird. Mit seiner fortschrittlichen Mustererkennung und Datengenerierung hat GenAI das Potenzial, immer genauere Umgebungs- und Verhaltensmodelle zu erstellen, die subtile Abweichungen vom normalen Verhalten identifizieren, potenzielle Angriffsszenarien simulieren und sich in Echtzeit an sich entwickelnde Bedrohungen anpassen können.
[Lesen Sie auch: Ultimativer Leitfaden zur KI-Cybersicherheit – Vorteile, Risiken und Vorteile]
„Das heutige Gespräch wird von den Durchbrüchen bei der Verwendung generativer KI angetrieben“, sagt David Gruber, Hauptanalyst für Cybersicherheit beim Marktforschungsunternehmen Enterprise Strategy Group. „Die traditionellen KI-Modelle für maschinelles Lernen, die verwendet wurden, haben hervorragende Arbeit beim Zusammenfügen von Signalen geleistet, die potenziellen Mustern verdächtigen Verhaltens entsprechen“, sagt Gruber. „Generative KI hilft dabei, diese neue Ebene zusätzlich zu traditionellen Erkennungsmodellen für maschinelles Lernen und KI hinzuzufügen, aber sie hilft dem Analysten, viele der Dinge zu automatisieren und zu korrelieren , die er etwas manuell erledigen musste, und seine eigene Wissensdatenbank zu verwenden“, fügt er hinzu.
KI geht jedoch bei der Bedrohungserkennung über traditionelles ML hinaus.
Wie KI die Erkennung von Anomalien begründet
Wenn das System korrekt abgestimmt ist, kann herkömmliches maschinelles Lernen Anomalien innerhalb von Datenmustern effektiv erkennen. GenAI-Systeme versprechen, „Begründung“ zum Kontext der Ergebnisse hinzuzufügen und Vorschläge auf der Grundlage komplexer Variablen zu machen.
„[KI ist] dem Analysten dabei zu helfen, viele der Dinge zu automatisieren und zu korrelieren, die er etwas manuell tun musste, und seine eigene Wissensbasis zu verwenden.“David Gruber, leitender Cybersicherheitsanalyst, Enterprise Strategy Group
Das bedeutet, dass die KI für Sicherheitspraktiker zunächst eine Bedrohung identifiziert, dann bewertet, wie sich diese spezifische Bedrohung auf die Umgebung auswirken könnte, und dann eine Reihe potenzieller Minderungsstrategien bereitstellt.
Gruber erklärt, dass solche GenAI-Anwendungen dazu beitragen, die Art und Weise zu ändern, wie Sicherheitsexperten über den Einsatz von KI im Kontext von Sicherheitsoperationsfunktionen denken. Es geht nicht nur darum, Anomalien zu erkennen, sondern sie vollständig kontextuell in der Umgebung zu verstehen, in der sie auftreten. „Erkennen wir etwas Verdächtiges im Kontext der Infrastruktur, des festgelegten Risikoprofils und der Bedrohungshistorie, die die Organisation erlebt hat, oder des aktuellen Geschäftsklimas?“ Gruber fragt. GenAI kann Analysten in die richtige Richtung weisen.
GenAI-Systeme mit mehreren Agenten sind vielversprechend
Während Multi-Agent-Systeme (die mehrere Komponenten verwenden, um die Umgebung zu scannen, anstatt eine einzige zentralisierte Einheit) nicht neu in der Cybersicherheit sind, verspricht GenAI, die Art und Weise zu revolutionieren, wie Sicherheitsagenten, die sich für verschiedene Aufgaben einsetzen, zusammenarbeiten können. Zahlreiche autonome Agenten, die gemeinsam funktionieren, können den vollständigen Kontext der Umgebung einer Organisation, die erkannten Bedrohungen und die besten Reaktionsmöglichkeiten bewerten.
Mit Agenten, die den Netzwerkverkehr überwachen, anderen Agenten, die Systemprotokolle, Benutzerverhalten, Systemfehlkonfigurationen und Schwachstellen überwachen, und einer anderen Überwachung auf aktive Bedrohungen könnte das GenAI-System ein differenziertes Verständnis einer potenziell riskanten Situation entwickeln. Es würde auch eine große Erleichterung für Threat Intelligence-Teams bedeuten, die heute unter dem Druck stehen, jede zufällige Bedrohung zu bewerten und darauf zu reagieren.
Hoffentlich bietet dies eine gründlichere Situationsbewertung und hilft dabei, die Warnungen zu priorisieren, die sofortige Aufmerksamkeit erfordern.
Das umfassendere Kontextverständnis von GenAI
GenAI-Systeme versprechen, nicht nur den Kontext des internen technologischen Umfelds zu verstehen, sondern auch breitere Ereignisse, wie geopolitische Umstände, unternehmensspezifische Bedrohungen und die Art der Bedrohungsakteure, die bestimmte Branchen anvisieren.
„GenAI kann einen großen Teil der Beinarbeit erledigen, um ... mehr Kontextinformationen auf den Bildschirm zu stellen.“Gruber
Mit seiner Fähigkeit, Beziehungen zwischen externen und internen Bedingungen darzustellen, ist eine viel komplexere Analyse von Bedrohungen möglich, anstatt einfach eine Warnung zu versenden, wenn eine Bedrohung in einem Muster identifiziert wird.
„GenAI kann einen großen Teil der Beinarbeit erledigen, um diesen Kontext im Namen von Analysten zu erhalten, was mehr kontextbezogene Informationen auf dem Bildschirm vor sich stellt und sie so korreliert, dass es ihnen leichter fällt, zu den großen Aha-Momenten über das Geschehen und die potenziellen Auswirkungen zu gelangen“, sagt Gruber.
Human-AI-Zusammenarbeit – und Vorsicht
Mit der Zeit können GenAI-Systeme mit menschlichen Analysten auf eine Weise zusammenarbeiten , die spezifisch für die Stärken und Neigungen einzelner Teammitglieder ist. Beispielsweise versteht die KI durch Analystenfeedback, Fähigkeitsbewertungen und Anerkennungen von Arbeitsmustern die Stärken, Schwächen und potenziellen Vorurteile bestimmter Teammitglieder und arbeitet mit ihnen in ihrem Fähigkeits- und Bewusstseinsniveau zusammen. Bei Bedrohungen kann das System die Paarung bestimmter Analysten basierend auf ihren Talenten vorschlagen.
Es gibt viel Begeisterung über das Potenzial der Technologie, aber es sind noch frühe Tage in der Entwicklung, und nicht jeder ist davon überzeugt, dass sie wirklich liefern kann. „Leider habe ich keinen großen Erfolg mit GenAI-basierten Umgebungsinformationssystemen [Anomaly] gesehen. Sie funktionieren nur in Umgebungen eines einzigen Anbieters“, sagt Remes. Er fügt hinzu, dass sehr wenige Organisationen, deutlich größere Organisationen, sich für eine monolithische Sicherheitsstrategie entschieden haben. „Ich glaube auch nicht, dass das eine großartige Strategie ist, also erwarte ich nicht, dass viele diesen Sprung machen“, sagt Remes.
Während eine solche Vorsicht ihre Vorteile hat, ist die Technologie unbestreitbar vielversprechend und wird von hier aus nur noch besser. Wenn man bedenkt, wie viele Stunden der typische Sicherheitsanalyst damit verbringt, falsch-positive Ergebnisse zu verfolgen, ist jedes zukünftige System, das verspricht, diese Arbeitslast drastisch zu reduzieren, sicherlich eines, das am meisten angenommen wird.
