Zwar schienen Cyberkriminelle in den letzten zwei Jahren im Wettlauf um die künstliche Intelligenz einen Schritt voraus zu sein, indem sie große Sprachmodelle und Chatbots in einer Flut von Phishing-Angriffen und anderen Cyberangriffen einsetzten, doch dieser Vorsprung könnte ins Wanken geraten, sagen Experten, da diese Gruppen zunehmend auf KI-gestützte Cybersicherheitstools stoßen, die solche Bedrohungen erkennen – und vereiteln – können.
Dank ihrer Schnelligkeit und ihrer Fähigkeit, Muster in riesigen Datenmengen zu erkennen, eignet sich die KI besonders gut für die Betrugsaufdeckung und die Überprüfung von Systemen auf Schwachstellen. Das dürfte für diejenigen eine Erleichterung sein, die die durch KI ermöglichten Angriffe von Cyberbanden aufmerksam verfolgt haben.
Zu den jüngsten Anwendungsbeispielen für den Einsatz von KI durch Betrüger zählen:
- Erst letzte Woche warnten ukrainische Beamte auf der Münchner Cybersicherheitskonferenz davor, dass russische Hacker Modelle des maschinellen Lernens einsetzen, um riesige Mengen an Inhalten zu durchforsten, die aus infiltrierten E-Mail-Postfächern gestohlen wurden, und anschließend mithilfe von KI glaubwürdigere, maßgeschneiderte Phishing-Kampagnen zu erstellen.
- Im vergangenen Monat gab Google bekannt, dass es mithilfe seines Gemini-Chatbots 57 Bedrohungsgruppen mit Verbindungen zu Russland, China, dem Iran und Nordkorea identifiziert habe, die damit Aufklärungsarbeit über Verteidigungsexperten betrieben, Fehler im Code behoben und neue Wege suchten, tief in die Netzwerke ihrer Ziele einzudringen. Dabei setzten sie Techniken wie (Umgehung der Erkennung) und (Datenexfiltration) ein.
- Cyberkriminelle haben zudem ihre eigenen großen Sprachmodelle wie WormGPT, FraudGPT und GhostGPT entwickelt, um eine Flut neuer Malware und Phishing-Betrugsversuche auszulösen.
So wehren sich einige Organisationen dagegen:
- Mastercard nutzte künstliche Intelligenz, um Zahlungsdaten von neun Partnerbanken zu überprüfen und so über einen Zeitraum von drei Jahren betrügerische Zahlungen in Höhe von über 35 Milliarden US-Dollar zu verhindern.
- Amazon, wo täglich bis zu 750 Millionen Cyberangriffe verzeichnet werden, fasst alle Daten zu diesen Vorfällen in einer Datenbank zusammen. Anschließend nutzt das System maschinelles Lernen, um alle Daten im Zusammenhang mit diesen Vorfällen zu durchforsten und diejenigen zu identifizieren, denen es besondere Aufmerksamkeit widmen sollte. Auf der Grundlage dieser Daten führt das Unternehmen sogar KI-gestützte prädiktive Analysen unter durch, um vorherzusagen, welche Bedrohungen in Zukunft an Bedeutung gewinnen werden.
- Die Cybersecurity and Infrastructure Security Agency (CISA) nutzt künstliche Intelligenz, um potenzielle Bedrohungen für Netzwerke der US-Regierung automatisch zu erkennen und zu analysieren, ungewöhnliche Aktivitäten zu melden und Muster in riesigen Datenmengen zu identifizieren.
- Auch die Europol- setzt künstliche Intelligenz für sich wiederholende Aufgaben ein, wodurch menschliche Analysten mehr Zeit für andere Aufgaben gewinnen und eine übermäßige Konfrontation mit „grausamem“ Material vermieden wird.
Da sich dieses Fachgebiet durch die zusätzlichen Möglichkeiten der generativen KI weiterentwickelt, bietet es auch vielversprechende Perspektiven für die Aufbereitung seiner Erkenntnisse in leicht verständliche Ergebnisse. Das könnte bedeuten, eine verwirrende Vielzahl von Kennzahlen zu einer einfachen textlichen Zusammenfassung zu verdichten, die für vielbeschäftigte Sicherheitsanalysten verständlicher wäre. Es könnte sich zudem mit diesen Analysten austauschen und Fragen in natürlicher Sprache zu seinen Ergebnissen auf flüssige und intuitive Weise beantworten.
Diese neuen Funktionen bieten Organisationen aller Art einen Leistungsschub im Kampf gegen digitale Angreifer, so Mary Carmichael, Mitglied der ISACA-Arbeitsgruppe „Emerging Trends“ und Vorsitzende des ISACA-Ortsverbands Vancouver. „Das traditionelle maschinelle Lernen [eine Form der KI] hat sich in mehreren Bereichen der Cybersicherheit als recht erfolgreich erwiesen und bietet gegenüber älteren, regelbasierten Systemen deutliche Verbesserungen.“
Im Folgenden stellen wir wichtige Anwendungsfälle vor, in denen KI und maschinelles Lernen besonders vielversprechend sind.
Erkennung – warum neuronale Netze darin besonders gut sind
„Die Erkennung ist ein Bereich, in dem maschinelles Lernen gute Ergebnisse erzielt hat“, stellt Carmichael fest. Einige Modelle identifizieren Malware durch die Analyse von Datenmustern, während andere sich darauf konzentrieren, diese zur Überwachung des Netzwerkverhaltens im Vergleich zu einem Referenzwert für normale Aktivitäten zu nutzen. Wenn ein Verhalten ausreichend stark von der Norm abweicht, wird ein Alarm ausgelöst.
„. Das traditionelle maschinelle Lernen hat sich in mehreren Bereichen der Cybersicherheit als recht erfolgreich erwiesen und bietet Verbesserungen gegenüber älteren, regelbasierten Systemen.“Mary Carmichael, Mitglied der ISACA-Arbeitsgruppe „Emerging Trends“
Dieses Verhalten könnte darauf hindeuten, dass ein Computer zu einer ungewöhnlichen Tageszeit zu viele Dateien von einer unbekannten IP-Adresse herunterlädt. Ein weiterer Auslöser könnte eine E-Mail sein, die bei einer Person im Unternehmen eingeht, die Zugriff auf Finanzkonten hat, die jedoch verdächtige Merkmale aufweist, die einem menschlichen Administrator möglicherweise entgehen könnten, wie beispielsweise ungewöhnliche Formulierungen und ein unbekannter Absender.
Eine derartige Überwachung und statistische Analyse erfordert die Auswertung großer Datenmengen aus verschiedenen Quellen, oft in Echtzeit. Das ist zwar etwas, was ein Mensch tun könnte, doch dazu bräuchte man Tausende von Menschen, die unermüdlich zahlreiche miteinander in Zusammenhang stehende Ereignisse in Ihrer IT-Infrastruktur im Blick behalten. Das ist unrealistisch.
Die neuronalen Netze, die dem maschinellen Lernen zugrunde liegen, sind darin besonders gut, erklärt Carmichael.
Während herkömmliche Software einzelne Schritte nacheinander verarbeitet, leiten neuronale Netze ganze Datenmengen komplexer Daten zwischen mehreren Schichten von Neuronen weiter. Sie greifen zunächst auf vorhandene Daten zurück, die von den Betreibern beispielsweise als legitim oder bösartig gekennzeichnet wurden. Das Netzwerk wertet diese beschrifteten Daten aus, um sich ein Bild davon zu machen, was zulässig ist und was nicht.
Das trainierte neuronale Netzwerk nutzt dieses Wissen anschließend zur Auswertung neuer Daten – ein Vorgang, der als „Inferenz“ bezeichnet wird. Es bildet die Grundlage für eine Vielzahl von Aufgaben im Bereich des maschinellen Lernens, angefangen beim Abgleich im Rahmen der Bildverarbeitung bis hin zur Erkennung böswilliger Aktivitäten in einem Netzwerk, der Unterscheidung von Spam und legitimen E-Mails oder der Erkennung betrügerischer Finanztransaktionen.
Bedrohungsmodellierung – wie maschinelles Lernen branchenspezifisch wird
Maschinelles Lernen hilft nicht nur dabei, Bedrohungen zu erkennen, sondern versteht auch die spezifischen Bedrohungen, denen ein Unternehmen ausgesetzt ist, erklärt James Stanger, Chief Technology Evangelist bei CompTIA. Eine Bank, die beispielsweise zahlreiche Verwaltungssysteme betreibt, wird mit spezifischen Angriffsarten von bestimmten Gruppen konfrontiert sein, die es auf diese Branche abgesehen haben. Diese Gruppen werden Techniken einsetzen, die speziell darauf zugeschnitten sind, Schwachstellen in der Infrastruktur einer Bank auszunutzen, und die sich beispielsweise von den Angriffsmethoden unterscheiden, die andere Gruppen gegen ein Öl- und Gasunternehmen anwenden würden.
„[Der Einsatz von KI zur] Protokollsammlung und -analyse führt zu einer schnelleren Reaktionszeit.“Curtis W. Dukes, Executive Vice President und General Manager für bewährte Sicherheitsverfahren, Center for Internet Security
Genauso wie Ihre Sicherheitsschulungen für Mitarbeiter im Bereich „ “ branchen- und unternehmensspezifisch sein sollten, sollte dies auch für Ihre Bedrohungsmodellierung gelten. Hier gibt es keinen Platz für Pauschallösungen.
Die Bedrohungsmodellierung ist der Prozess der Erstellung eines Rahmens für Bedrohungen, denen eine Organisation ausgesetzt ist, der zur Risikoanalyse und zur Priorisierung von Investitionen in die Cybersicherheit genutzt werden kann. Dieser Prozess, bei dem große Mengen an Daten aus den Bereichen „ “, „Threat Hunting“ sowie weitere Daten aus verschiedenen Quellen analysiert werden, ist für jedes Cybersicherheitsprogramm von entscheidender Bedeutung. Außerdem ist es langsam und teuer.
„In den letzten Jahrzehnten ist es uns gelungen, aussagekräftige und präzise Bedrohungs- und Angriffsmodelle zu erstellen, doch der Prozess zur Entwicklung dieser Modelle erfolgte größtenteils manuell“, sagt Stanger. Die Fähigkeit der KI, große Datenmengen zu verarbeiten und Muster zu erkennen, macht sie in diesem Zusammenhang zu einem wertvollen Hilfsmittel. „Wenn dies richtig umgesetzt wird, wird dies eine sehr willkommene Entwicklung sein“, fügt er hinzu.
Automatisierung – das ist mehr als nur Geschwindigkeit
Das Institut für Sicherheit und Technologie (IST), ein Thinktank, der sich der Verknüpfung von Technologie und Politik zur Bewältigung neuer Sicherheitsherausforderungen widmet, hat kürzlich in einem Bericht mit dem Titel „ “ ( ) vom vergangenen Oktober das Potenzial der künstlichen Intelligenz zur Verbesserung der Cybersicherheitsmaßnahmen aufgezeigt. Die Automatisierung einfacher Aufgaben wie der Analyse des Netzwerkverkehrs und der Dateiklassifizierung könne dazu beitragen, Sicherheitsadministratoren Zeit zu sparen, hieß es.
„Die jüngsten Fortschritte in der KI-Technologie bergen das Potenzial, das Gleichgewicht zwischen Angriff und Verteidigung durch die Nutzung des Heimvorteils dramatisch zu verändern.“Die Auswirkungen künstlicher Intelligenz auf die Cybersicherheit: Verschiebung des Gleichgewichts zwischen Angriff und Verteidigung, Institut für Sicherheit und Technologie (Oktober 2024)
„[Der Einsatz von KI bei der] Protokollerfassung und -analyse führt zu einer schnelleren Reaktionszeit“, pflichtet Curtis W. Dukes, Executive Vice President und General Manager für Sicherheits-Best-Practices beim Center for Internet Security, bei. Als Leiter des Bereichs Informationssicherheit bei der National Security Agency war er jahrelang mit sensiblen Systemen befasst und weiß, wie wichtig es ist, aus der Systemtelemetrie rasch Erkenntnisse zu gewinnen.
Neben der Zeitersparnis können KI-Tools zu einem genaueren Verständnis der Netzwerkumgebung beitragen. „Die jüngsten Fortschritte in der KI-Technologie bergen das Potenzial, das Gleichgewicht zwischen Angriff und Verteidigung durch die Nutzung des Heimvorteils dramatisch zu verändern“, heißt es in dem IST-Bericht.
[Lesen Sie auch: Einfach zu erstellende Orchestrierung und Automatisierung in großem Maßstab]
Durch die Automatisierung von Netzwerkinventarisierungen und -prüfungen sowie anderer wichtiger Aufgaben wie Patch-Management oder der Aufdeckung von Schatten-IT erhalten die Verantwortlichen für die Netzwerksicherheit ein Verständnis ihres Netzwerks von innen , das weit über das hinausgeht, was ein Angreifer von außen erfassen kann. Dieses Wissen und dieses Verständnis werden zukünftige Entscheidungen nur noch verbessern, da sich Bedrohungen und die damit verbundene Technologie weiterentwickeln.
Schwachstellenmanagement – nur eine der vielen Möglichkeiten, wie generative KI neue Maßstäbe setzt
Der Aufstieg der GenAI verspricht noch weitere Verbesserungen. Diese Technologie, für die vor allem die Basismodelle stehen, auf denen Chatbots wie ChatGPT und Claude basieren, stützt sich auf große Sprachmodelle (LLMs). Diese basieren auf neuronalen Netzen, nutzen jedoch neue Algorithmen, die speziell für die Verarbeitung großer Textmengen entwickelt wurden. Sie sind besser in der Lage, kreative Inhalte zu analysieren, darunter Text sowie Audio, Video und sogar Programmquellcode. Auf dieser Grundlage können sie dann neue Inhalte erstellen.
[Lesen Sie auch: Was ist das Management von Gerätesicherheitslücken?]
Große Sprachmodelle (LLMs) haben weitreichende Auswirkungen auf die Cybersicherheit, insbesondere im Hinblick auf die Erkennung und Beseitigung von Schwachstellen ( ) sowie das Schwachstellenmanagement (). Der IST-Bericht hebt das Potenzial hervor, einige der Fehler in Computerprogrammen aufzudecken, die von Cyberkriminellen ausgenutzt werden. Auf der DEFCON-Cybersicherheitskonferenz „ August 2024 “ in Las Vegas stellten die Halbfinalisten der „AI Cyber Challenge“ der DARPA deren Potenzial unter Beweis: Sie nutzten große Sprachmodelle (LLMs), um 22 Schwachstellen im Quellcode zu finden, und schlossen 15 davon automatisch. Unabhängig davon setzte das Sicherheitsteam „Project Zero“ von Google künstliche Intelligenz ein, um das „Fuzzing“ zu verbessern – ein Verfahren, bei dem ein Zielsystem mit Eingaben überflutet wird, um eine solche zu finden, die das System kompromittiert. hat unter und einen Zero-Day-Exploit entdeckt, der diese Methode nutzt – nach eigenen Angaben eine Weltpremiere.
Erfolge des SOC – KI-Assistenten sparen Zeit, filtern Störfaktoren heraus und bringen die Dinge auf den Punkt
Diese Systeme können zudem dazu beitragen, Tier-1-Mitarbeiter im Security Operations Center (SOC) von zu entlasten, indem sie komplexere Arbeitsabläufe schaffen, so Dominik Penner, leitender Sicherheitsingenieur bei dem in Toronto ansässigen Cybersicherheitsberatungsunternehmen Mand Consulting.
„Die meisten Organisationen, die daran interessiert sind, KI in einem SOC einzusetzen, werden diese zur Triage nutzen.“Jennifer Tang, Referentin für Cybersicherheit und neue Technologien am IST
„Die Protokollierung und die Überwachung sind nicht allzu aufwendig, aber sobald man damit beginnt, Zusammenhänge zu Angriffen herzustellen, ist ein etwas höherer Analyseaufwand erforderlich“, sagt er. „Es ist so laut. „Das Durchforsten dieser Informationen und das Finden von umsetzbaren Anregungen und Erkenntnissen erweist sich letztendlich als der schwierigere Teil.“
Maschinelles Lernen eignet sich hervorragend dazu, Daten zu durchforsten, zu klassifizieren und Anomalien zu erkennen. „LLMs bieten SOC-Analysten somit eine ausgefeiltere Möglichkeit, diese Daten abzufragen“, so Jennifer Tang, Referentin für Cybersicherheit und neue Technologien am IST und Mitautorin des Berichts.„Ich gehe davon aus, dass die meisten Organisationen, die daran interessiert sind, KI in einem SOC einzusetzen, diese zur Triage nutzen werden“, sagt sie. „[Große Sprachmodelle können] Unternehmen anhand natürlicher Sprache Einschätzungen darüber liefern, was Warnmeldungen bedeuten und welche Maßnahmen zu ergreifen sind.“
Eine solche klare und direkte Kommunikation ist besonders wichtig in einer zeitkritischen Situation wie einem Cyberangriff, in der Kommunikation von entscheidender Bedeutung ist und Maßnahmen in verschiedenen Abteilungen (von der IT bis hin zu den sozialen Medien) durch unterschiedliche Mitarbeiter mit unterschiedlichsten Sicherheitskenntnissen schnell koordiniert werden müssen.
Diese Fähigkeiten führen zur Entwicklung von KI-Assistenten, die speziell auf den Einsatz im Bereich der Cybersicherheit zugeschnitten sind. Carmichael hebt hervor, dass das Unternehmen in der Lage ist, über die Triage hinauszugehen und SOC-Betreibern Abhilfemaßnahmen zu empfehlen.
Realitätscheck – warum es nach wie vor wichtig ist, den Menschen einzubeziehen
Der nächste logische Schritt auf diesem Weg ist etwas, das IST in seinem Bericht hervorgehoben hat: autonome Agenten, die bei Cybervorfällen nicht nur Abhilfemaßnahmen empfehlen, sondern diese auch automatisch umsetzen.
„“ KI unterstützt weniger erfahrene Analysten durch Anleitungen und Empfehlungen, was zur Weiterqualifizierung der Belegschaft und zur Verbesserung der Gesamtleistung des Teams beiträgt.”Mary Carmichael von der ISACA
Stellen Sie sich einen Beifahrer vor, der sich herüberbeugt und das Lenkrad übernimmt – doch anstatt die nächste Linkskurve zu fahren, könnte er einen Abschnitt im Netzwerk isolieren, die Zugriffsrechte eines Mitarbeiters im Unternehmensverzeichnis herabstufen oder eine Firewall-Regel aktualisieren, um eine bestimmte Gruppe von IP-Adressen zu blockieren.
Für Unternehmen, die sich noch vorsichtig an KI herantasten, könnte dies ein Schritt zu weit sein. „Was uns stets zurückgehalten hat, ist die Angst der Organisationen vor dem Unbekannten“, sagt Dukes. „Sie möchten bestimmte Prozesse nicht automatisieren.“
Und das ist in Ordnung. Der Grad der Automatisierung wird (und sollte) von Unternehmen zu Unternehmen variieren. Trotz der vorherrschenden Befürchtungen sind Branchenbeobachter der Ansicht, dass es mindestens fünf Schlüsselbereiche im Sicherheitsbetrieb gibt, in denen der Mensch weiterhin die zentrale Ressource bleiben wird.
Tang sieht einige Probleme im Bereich der Unternehmensführung voraus, da Unternehmen erwägen, autonomen KI-Agenten mehr Kontrolle zu übertragen. „Ich glaube, es wird Probleme geben hinsichtlich der Erklärbarkeit, der Einhaltung der Vorschriften zur „ “ () und der Frage, wo die Verantwortlichkeit liegt“, sagt sie. Ein automatisiertes System, das eine Maßnahme ergreift, sollte seine Argumentation darlegen; KI-Systeme sind jedoch bekanntermaßen schlecht darin, zu erklären, wie sie zu einer Entscheidung gelangt sind.
Die meisten Organisationen werden ein gewisses Maß an menschlicher Kontrolle bevorzugen, anstatt der KI die vollständige Automatisierung aller Cybersicherheitsmaßnahmen zu überlassen. Gartner empfiehlt „ “, bei denen KI zum Einsatz kommt, die es jedem Unternehmen ermöglicht, den Automatisierungsgrad entsprechend seiner Risikobereitschaft anzupassen.
Tang erklärt zwar, dass Vorstandsmitglieder einiger Unternehmen ein „SOC in a Box“ mit durchgängigen Erkennungs- und Automatisierungsfunktionen fordern, doch sie ist nicht der Ansicht, dass die Branche bereits so weit ist. Viele Organisationen, mit denen sie gesprochen hat, haben sich dazu verpflichtet, stets einen Menschen in den Entscheidungsprozess einzubeziehen, und schreiben sogar Feedback-Mechanismen vor, um die Ergebnisse der KI kontinuierlich zu überprüfen. Folglich sieht sie die Zukunft – zumindest vorerst – eher in einer KI-gestützten Cybersicherheit als in einer von KI gesteuerten.
KI-Assistenten, die lediglich Empfehlungen aussprechen, anstatt Aufgaben auszuführen, versprechen dennoch eine Rendite. „KI unterstützt weniger erfahrene Analysten durch Anleitungen und Empfehlungen, was zur Weiterqualifizierung der Belegschaft und zur Verbesserung der Gesamtleistung des Teams beiträgt“, so Carmichael von der ISACA. Angesichts einer Technologie, die sich so rasant entwickelt und so tiefgreifende Veränderungen mit sich bringt wie die KI, sollten Unternehmen zunächst langsame, bedächtige Schritte unternehmen, bevor sie einen Sprint starten.
