Die KI hat den Sicherheitsteams einen echten Kraftmultiplikator an die Hand gegeben – schnellere Analysen, Mustererkennung in großem Maßstab und automatisierte Erkennung. Zudem hat es den Personen, die versuchen, einzubrechen, dieselben Möglichkeiten verschafft. Und dadurch ist ein drittes Problem entstanden, dem oft weniger Aufmerksamkeit geschenkt wird: Mitarbeiter in allen Unternehmen stellen mittlerweile routinemäßig Verbindungen zu externen KI-Systemen her, geben Daten weiter, die diese Systeme speichern und verarbeiten, und die meisten Sicherheitsprogramme können dies nicht erkennen.
Diese Konvergenz hat die Kosten für Sichtbarkeitslücken erheblich erhöht. Bevor wir jedoch auf die Neuerungen eingehen, lohnt es sich zu untersuchen, warum das grundlegende Problem – nämlich zu wissen, was sich in Ihrer IT-Infrastruktur befindet, wie diese funktioniert und ob dies normal ist – für so viele Organisationen nach wie vor ungelöst bleibt.
Ein „Kamingespräch“, das ich kürzlich moderiert habe, hat dies verdeutlicht. Ich fragte einen erfahrenen Sicherheitsexperten, was „Transparenz“ für sein Unternehmen bedeute, und seine Antwort bestand aus zwei Teilen: Was bedeutete der Begriff zu Beginn ihrer Tätigkeit, und was bedeutet er heute? Diese beiden Dinge waren kaum noch als dasselbe Konzept zu erkennen.
Vom Bestand zur Analyse
Der Ausgangspunkt für die meisten Organisationen war die Bestandsaufnahme der IT-Ressourcen: Welche Geräte befinden sich im Netzwerk, wer nutzt sie und welche Software läuft darauf? Dies ist nach wie vor von grundlegender Bedeutung – und dennoch in viel zu vielen Organisationen noch immer ungelöst. Und selbst für diejenigen, die Fortschritte machen, entwickelt sich die Herausforderung ständig weiter und wird immer schwieriger.
Mein Gesprächspartner am Kamin beschrieb, wie sein Team nun Echtzeit-Endpunkt-Telemetrie einsetzt, um Geräte während Software-Update-Zyklen zu überwachen – nicht nur, um zu überprüfen, ob ein Update abgeschlossen wurde, sondern auch, um Verhaltensdaten in Echtzeit zu vergleichen, festzustellen, wie sich „normales“ Verhalten in diesem Moment darstellt, und diese Erkenntnisse zu nutzen, um vorherzusagen, wie sich ähnliche Rollouts in anderen Regionen und Konfigurationen verhalten werden. Das ist keine Bestandsaufnahme. Es handelt sich um operative Erkenntnisse, die auf einer Transparenz basieren, deren Genauigkeitsgrad vor einigen Jahren noch nicht als notwendig erachtet wurde. Der Endpunkt – an dem ein Benutzer mit Ihren Systemen interagiert, an dem Daten erstellt und abgerufen werden und an dem KI-Tools ausgeführt werden – ist der entscheidende Aspekt dieses Problems.
Das Anwesen, das über die Karte hinauswuchs
Ein Grund dafür, dass eine grundlegende Sichtbarkeit nach wie vor schwer zu erreichen ist, liegt in strukturellen Faktoren. Digitale Bestände in großen Organisationen wachsen nicht in geordneter Weise. Sie entwickeln sich organisch und werden dabei von Haushaltszyklen, Projektanforderungen und Krisen geprägt, die dazu führen, dass sich Veränderungen, die eigentlich Jahre dauern würden, auf wenige Monate verkürzen.
Ich war eine Zeit lang beim Verteidigungsministerium tätig, das Anfang 2000s nach einigen Maßstäben das größte einzelne IT-Netzwerk der Welt betrieb. Selbst damals führten wir Netzwerkscans nur alle sechs Wochen durch – nicht aus freien Stücken, sondern weil häufigere Scans die Infrastruktur überlastet hätten. Ein sechs Wochen altes Bild Ihrer Anlage in einem Umfeld, in dem Bedrohungen innerhalb weniger Stunden Realität werden können, stellt keine Sichtbarkeitsfunktion dar. Es handelt sich um ein historisches Dokument. Und das noch bevor man den Unteroffizier in einem abgelegenen Stützpunkt berücksichtigte, der eine Spielkonsole an einen Netzwerkanschluss angeschlossen hatte, oder die Smart-TVs in Besprechungsräumen, die noch Wochen, nachdem der letzte Nutzer den Raum verlassen hatte, im internen WLAN angemeldet waren.
Ein sechs Wochen altes Bild Ihrer Anlage in einem Umfeld, in dem Bedrohungen innerhalb weniger Stunden Realität werden können, stellt keine Sichtbarkeitslösung dar. Es handelt sich um ein historisches Dokument.
COVID hat diese Entwicklung branchenübergreifend noch verschärft. Unternehmen, die das Arbeiten im Homeoffice zuvor nie unterstützt hatten, stellten fast über Nacht vollständig auf dezentrale Arbeitsmodelle um. Die Anzahl der Geräte nahm außerhalb der etablierten Überwachungsbereiche stark zu, und in vielen Organisationen wurde der Gerätebestand seitdem nie wieder vollständig erfasst.
Und all diese Herausforderungen bestanden bereits, bevor die KI überhaupt ins Spiel kam.
Das Problem der Transparenz bei KI lässt sich in drei Aspekte unterteilen
Die erste Herausforderung im Bereich der KI liegt auf der Seite der Bedrohungen. Mithilfe von KI können Angreifer Schwachstellen aufdecken, die in keiner bestehenden Datenbank aufgeführt sind – und zwar nicht durch den Abgleich mit bekannten Mustern, sondern durch direkte Analyse von Code und Systemen. Das Zeitfenster zwischen der Entdeckung einer Sicherheitslücke und ihrer Ausnutzung war bereits unangenehm kurz. Die KI grenzt dies noch weiter ein, und zwar in einem Tempo, das die meisten Patch- und Reaktionszyklen übertrifft.
Der zweite Aspekt betrifft das Verhalten. Mitarbeiter greifen auf externe große Sprachmodelle zu – einige davon sind genehmigt, die meisten jedoch nicht – und geben dabei möglicherweise vertrauliche Informationen an Systeme weiter, die außerhalb jeglicher Kontroll- und Datenschutzrahmen liegen. Dies stellt kein zukünftiges Risiko dar. Dies geschieht derzeit in großem Umfang in Organisationen mit ausgereiften Sicherheitsprogrammen, und in den meisten Fällen geschieht dies ohne nennenswerte Transparenz.
Der dritte ist interner Natur. KI-Funktionen sind mittlerweile direkt in die Sicherheits- und Transparenz-Tools integriert. Dies wirft eine Reihe von Fragen auf, die sich Unternehmen erst seit kurzem stellen: Welches Modell wird verwendet, wie genau ist es und was geschieht mit den verarbeiteten Informationen? Die Anwendung strenger Transparenzstandards auf Ihren Bestand, nicht jedoch auf die Instrumente, die diesen Bestand regeln, stellt einen blinden Fleck dar, den es zu untersuchen gilt.
Die Lücke im Patch und der dritte Weg
Die durchschnittliche Zeitspanne von der Identifizierung einer Sicherheitslücke bis zur Verfügbarkeit eines Patches liegt nach wie vor bei über 90 Tagen. Die aktive Ausnutzung beginnt oft bereits innerhalb weniger Tage. Bei einer immer größer werdenden Gruppe von Zero-Day-Schwachstellen erfolgt der Angriff, bevor ein Patch verfügbar ist.
Aufgrund dieser Lücke standen Unternehmen bislang traditionell vor zwei Optionen: entweder das Risiko in Kauf zu nehmen und den Betrieb fortzusetzen oder das betroffene System außer Betrieb zu nehmen und die damit verbundenen Betriebsbeeinträchtigungen in Kauf zu nehmen. Beides ist nicht zufriedenstellend. Bei kritischen Systemen ist möglicherweise keine der beiden Optionen realisierbar.
Es gibt noch einen dritten Weg, der jedoch von der Sichtverhältnisse abhängt. Wenn Sie in Echtzeit nachvollziehen können, wie eine bestimmte Sicherheitslücke ausgenutzt wird – wie der Angriff auf dem Endgerät aussieht –, können Sie gezielte Erkennungsmaßnahmen auf der Grundlage dieses Verhaltensmusters entwickeln, noch bevor ein Patch verfügbar ist. Sie können dann den Betrieb fortsetzen, da Sie wissen, wie der Exploit in der Praxis aussieht, und Sie können Reaktionen bereits zum Zeitpunkt des Angriffs automatisieren, anstatt erst im Nachhinein.
Unternehmen, die dies effektiv umsetzen, nutzen aktuelle Bedrohungsinformationen, um maßgeschneiderte Erkennungsmechanismen auf Endpunkt-Ebene zu entwickeln, wodurch der Auswirkungsbereich begrenzt und die Betriebskontinuität während des Patch-Fensters gewährleistet wird. Das ist eine echte Fähigkeit – doch sie erfordert Transparenz in Echtzeit, nicht wöchentliche Momentaufnahmen oder Scan-Zyklen, die sich über Wochen erstrecken.
Diese Fähigkeit hängt auch von einem Aspekt ab, der oft außer Acht gelassen wird: dem Vertrauen darauf, dass Ihre Transparenz-Tools tatsächlich das leisten, was sie melden. Viele Unternehmen gehen davon aus, dass dies abgedeckt ist, da EDR implementiert wurde, die Abdeckung bei 100 % oder nahe diesem Wert liegt und das Dashboard grün angezeigt wird. Es kommt jedoch vor, dass EDR-Agenten während der Fehlerbehebung deaktiviert und anschließend nicht wieder aktiviert werden. Oder sie sind auf Rechnern, die nicht aktiv verwaltet wurden, nicht mehr auf dem neuesten Stand. Bei einem kürzlich durchgeführten Proof-of-Concept in einem großen Unternehmen stellten wir fest, dass Geräte ohne aktivierten Standard-EDR-Agenten in Betrieb waren, die EDR-Plattform jedoch eine vollständige Bereitstellung meldete.
Die Diskrepanz zwischen den von einem Tool gemeldeten Informationen und der tatsächlichen Situation vor Ort stellt eine ganz eigene Kategorie von Sichtbarkeitsmängeln dar – und ist wohl die gefährlichste Art davon: der blinde Fleck, von dem man nicht weiß, dass man ihn hat. Eine kontinuierliche, eigenständige Erfassung – bei der nicht nur überprüft wird, ob Vermögenswerte vorhanden sind, sondern auch, ob die Schutzmaßnahmen für diese vorhanden, aktuell und funktionsfähig sind – stellt keine Ergänzung zu einem Transparenzsystem dar. Es ist ein wesentlicher Bestandteil davon.
Tätigkeit innerhalb der Lücke
Die 90-tägige Sicherheitslücke besteht in jedem Unternehmen, und durch den Einsatz künstlicher Intelligenz ist das Handeln innerhalb dieser Lücke folgenreicher und komplexer geworden. Der Unterschied zwischen Organisationen, die Vorfälle eindämmen können, und solchen, die zu Fallbeispielen werden, besteht darin, ob ihre Transparenz in Echtzeit erfolgt, vollständig ist und ausreichend vertrauenswürdig ist, um im entscheidenden Moment entsprechend handeln zu können.
Die Organisationen, die dies gut bewältigen, betrachten Transparenz nicht mehr als ein Problem, das sie gelöst haben, sondern als eine Disziplin, die mit einer sich ständig wandelnden Infrastruktur und einer Bedrohungslandschaft Schritt halten muss, in der mittlerweile dieselben Werkzeuge eingesetzt werden wie von ihnen selbst. Die Frage, die Sie sich stellen müssen, lautet: Verfügen Sie über eine Lösung, die für das Bedrohungsumfeld, in dem Sie sich tatsächlich befinden, geeignet ist?
