Ransomware-Attacken werden mehr und auch immer ausgeklügelter und Sicherheitsteams werden gleichzeitig jeden Tag mit Tausenden von False Positives überschwemmt.
Um aktuellen Angriffen effizient begegnen zu können sind Genauigkeit und Schnelligkeit die Schlüsselfaktoren, weshalb Lösungen, die auf künstlicher Intelligenz (KI) basieren, zunehmend gefragt sind. Deep Learning setzt hierbei nicht nur bei der Abwehr, sondern bereits bei einer intelligenten Prävention dieser Angriffe und Verringerung der Fehlalarme an.
Wer Thriller und spannende Filme schaut, wird den Moment kennen: Der Hauptcharakter ist auf der Flucht vor dem Verfolger und versteckt sich. Die Musik deutet es an – der Verfolger kommt näher und dann plötzlich diese trügerische Stille, nur damit im nächsten Moment die Hand des Verfolgers aus dem Nichts hervorschießt oder er plötzlich hervorspringt.
Was diese Situation so unheimlich macht, ist die Tatsache, dass man nicht weiß woher der Angreifer kommt. Man kann sich nicht sicher sein, dass er wirklich da ist, aber man spürt es doch. Dieser Situation eines Angreifers, der in der Dunkelheit lauert, stellen sich Unternehmen jeden Tag. Denn Hackerangriffe, insbesondere Ransomwareattacken, finden regelmäßig statt und die Nachrichten sind gefüllt mit Beispielen. Die Frage ist schon lange nicht mehr „Werden wir Opfer eines Cyberangriffs?“, sondern wann das geschieht. Daher ist es wichtiger denn je, den Angreifern einen Schritt voraus zu sein und nicht zu versuchen reaktiv mit Attacken umzugehen. Neue Technologien, die auf künstlicher Intelligenz beruhen, wie Deep Learning, sind derzeit auf dem Vormarsch, um diese Rolle der proaktiven Lösung einzunehmen.
In einer Welt voller Cyberangreifer – wo stehen wir?
Sieht man sich die Unternehmens- und Hackerlandschaft an, erkennt man verschiedene Schwachstellen, wenn es um das Thema Cybersicherheit geht.
- Die Angreifer werden immer schneller neue Angriffstaktiken und Malware zu entwickeln – laut dem letzten Report des BSI gibt es derzeit 144 Mio. Arten von Malware im Netz (22% Prozent mehr als im Vorjahr) - und ausgeklügelter (denn auch Kriminelle nutzen neue Technologien, um ihre Systeme zu verbessern)
- Unternehmen und Mitarbeiter sind nicht genug geschult – weder im Umgang mit Angriffen oder Methoden wie Phishingmails, noch mit der Verteilung von Ressourcen dorthin, wo sie gebraucht werden. Oftmals besteht hier auch eine Wissenslücke darüber, welche Lösungen wirklich etwas bringen oder was nun der Unterschied ist zwischen Deep Learning, Machine Learning und Künstlicher Intelligenz.
- Das IT-Team ist häufig überfordert mit der Anzahl von Angriffen, die sie überkommen und die wahren Gefahren hierbei herauszufiltern, kostet viel Zeit.
Cybersicherheitslösungen, die auf Deep Learning basieren, können helfen einige dieser Problemstellungen zu lösen und das Leben des IT bzw. SecOps Teams leichter zu machen.
Deep Learning & Machine Learning: Die Unterscheidung
Zunächst ist es wichtig zu wissen, wo der Unterschied zwischen Deep Learning und Machine Learning (ML) liegt – schließlich sind beide auf KI basierende Lösungen, jedoch im Kern sehr verschieden von ihrer Arbeitsweise, was sich letztlich auch auf das Sicherheitslevel auswirkt.
Deep Learning basiert auf einer digitalen Replikation des Gehirnaufbaus – es gibt sogenannte künstliche neuronale Netzwerke, die aus Hunderttausenden artifiziellen, nicht-linearen Neuronen-Synapsen-Kombinationen bestehen. Ähnlich wie im menschlichen Gehirn, werden Daten also zwischen den Knotenpunkten übertragen und zwar parallel, was zu einer deutlich erhöhten Geschwindigkeit bei der Übertragung und Verarbeitung der Informationen führt.
Natürlich benötigt Deep Learning eine Datengrundlage, von der aus es „lernen“ kann, weshalb das System mit einem Satz von Rohdaten gefüttert wird. Dabei gilt, je mehr Daten, desto besser, da es mehr Informationen gibt von denen das System lernen und ableiten kann. In dem Datensatz werden Codes als gutartig oder bösartig markiert und durch mehrfache (immer wieder redigierte) Durchläufe der Analyse, lernt das System immer besser beide voneinander zu entscheiden und auch neue, abgewandelte Codes einer Kategorie zuzuordnen. Das alles geschieht automatisch und wird von der Deep Learning Technologie gesteuert. Durch diese frühzeitige Identifikation von Bedrohungen kann bereits agiert werden bevor das Netzwerk infiltriert wird.
Im Gegensatz dazu, muss bei Machine Learning Technologie das Wissen einzeln von Mitarbeitern in das System eingegeben werden, da diese Identifikation von ‚guten‘ und ‚bösen‘ Codes nicht von selbst passiert. Das macht es auch so schwer mit dieser Technologie neue Bedrohungen zu erkennen, denn das geht nur, wenn diese Info bereits im System ist.
Zudem bietet es mehr Raum für menschliche Fehler oder Manipulation, beispielsweise wenn fehlerhafte Codes oder Daten direkt in das System eingeschleust werden und so Hintertüren für potentielle Kriminelle offenlassen.
False-Positives, Überlastung und Zeitverlust – Deep Learning schafft Abhilfe
Wie bereits erwähnt, ist es ein häufiges Problem für IT Teams, dass sie, während ihrer Aufgabe das System vor Cyberangriffen zu schützen, von einer Flut von Fehlalarmen überrollt werden. Das kann man sich vorstellen wie eine To-Do Liste mit tausenden von Aufgaben, von denen letztlich nur eine tatsächlich wertvoll für das Unternehmen und Ihre Tätigkeit ist.
Die zeitraubenden False-Positives, also Fehlalarme, überwiegen in der Regel weit mehr als tausend zu eins die echten Warnmeldungen. Es gab Fälle in großen Firmen, die täglich etwa 75.000 Warnmeldungen erzeugten, von denen im Durchschnitt vielleicht zwei auf echte Bedrohungen bezogen. Das Problem mag nicht immer so gravierend sein, doch es ist überall in der Geschäftswelt anzutreffen. Im kürzlich erschienen "Voice of SecOps Report", für den mehr als 600 Sicherheitsentscheider und -praktiker weltweit befragt wurden, zeigte sich, dass die Teams der Security Operation Center (SOC) 10 von 39 Stunden pro Arbeitswoche damit verbringen, Fehlalarme auszuwerten.
Dabei ist nicht zu vergessen, dass das nicht die einzige Aufgabe dieser Teams ist: Die Behebung eines Fehlalarms ist eine notwendige, aber sehr geringwertige Aktivität, die nichts zur Verbesserung der Sicherheit des Unternehmens beiträgt. Die Tatsache, dass SOC-Teams ein Viertel ihrer Zeit damit verbringen, sich mit Fehlalarmen zu befassen, ist äußerst ineffizient und verlängert die Zeit, die die Analysten benötigen, um echte Bedrohungen zu identifizieren und zu untersuchen.
Dabei zählt jede Sekunde, wenn ein Angreifer erstmal in das System eingedrungen ist (oder es versucht). Daher ist es ein ernstes Problem, wenn ein legitimer Alarm tagelang im Posteingang liegt, weil er in der Alarm-Flut untergeht.
Der hohe Zeitaufwand für solch eine sich wiederholende Aufgabe belastet auch das Sicherheitsteam und trägt zur Überlastung und Burnout der Analysten bei, einem häufigen Problem in der Branche.
Mit einer Deep Learning Lösung wird diese False Positive Rate deutlich verringert, da das System unbekannte Malware als solche erkennt und weniger Fehler macht, da es sich selbst während der Lernprozesse verbessert.
Ein Blick in die Zukunft von Cybersicherheit
Deep Learning bietet eine Kombination aus Schnelligkeit und Genauigkeit, die Unternehmen dabei helfen können eingehende Angriffe so schnell wie möglich zu erkennen und zwar noch bevor ein schwerwiegender Schaden entsteht. In Zeiten, in denen sich Technologie so schnell weiterentwickelt, muss dieser präventive Ansatz vermehrt befolgt werden. Zum einen um die Systeme, aber eben auch um die Mitarbeitenden selbst zu entlasten.
Trotz seiner fortschrittlichen Fähigkeiten ist Deep Learning natürlich keine magische Lösung, die das Problem der False Positives und der Angriffe sofort lösen wird. CISOs müssen sich Zeit nehmen, um herauszufinden, wie sie die Lösung am besten in ihr bestehendes System integrieren können, um ihre Fähigkeiten zu optimieren.
Deep Learning funktioniert am effektivsten, wenn es gründlich in das Sicherheitssystem integriert ist. Wir haben festgestellt, dass eine gut integrierte Deep Learning-Lösung die Anzahl der Warnungen, die das Sicherheitsteam erreichen, um 25 Prozent reduzieren und die Analyse der übrigen Warnungen erheblich beschleunigen kann.
Die DL Technologie mag vielleicht noch neu sein für viele Firmen, aber sie sollte gerade von SecOp-Teams als unermüdlicher, künstlicher Verbündeter im Kampf gegen Cyberangriffe und False-Positives gesehen werden.
