Net.Law.S 2018
20.02.18 - 21.02.18
In Nürnberg, Messezentrum

CESIS 2018
20.02.18 - 21.02.18
In München

SAMS 2018
26.02.18 - 27.02.18
In Berlin, Maritim proArte

Plentymarkets Online-Händler-Kongress
03.03.18 - 03.03.18
In Kassel

Search Marketing Expo 2018
20.03.18 - 21.03.18
In München, ICM – Internationales Congress Center

KIDie Schlageworte „Künstliche Intelligenz“ (KI) und „Maschinelles Lernen“ (ML) sind aktuell in zahlreichen Branchen und Zusammenhängen zu finden. Dies gilt auch ganz besonders für die Cybersicherheit: Hier tritt eine wachsende Zahl von Anbietern mit einer ebenso wachsenden Zahl an neuen Lösungen auf den Plan, die sich wahlweise das Etikett „KI“ oder „ML“ anheften. 

Für Unternehmen und Organisationen wird es zunehmend schwer, hier zwischen tatsächlich praxistauglichen Angeboten und „Altem Wein in neuen Schläuchen“ zu unterscheiden.

Gérard Bauer, VP EMEA bei Vectra, nennt neun Fragen, die Unternehmen den Anbietern von vermeintlichen KI/ML-Lösungen stellen sollten, um die Qualität und Eigenschaften der angebotenen Lösungen objektiv und verlässlich bewerten zu können.

Algorithmen für maschinelles Lernen

Welche Arten von Algorithmen nutzt das Produkt fürs maschinelle Lernen?

Warum man danach fragen sollte: Ein Sprichwort sagt: „Wer als Werkzeug nur einen Hammer hat, sieht in jedem Problem einen Nagel.“ Man sollte sich niemals auf ein einziges Werkzeug verlassen. Ein vielseitiges KI-Toolkit, das Mechanismen sowohl des überwachten als auch des unüberwachten Lernens zusätzlich mit „Deep-Learning“-Techniken kombiniert, deckt deutlich mehr Arten von Sicherheitsvorfällen ab, weist eine höhere Erkennungsgeschwindigkeit auf und erledigt seine Security-Aufgaben effizienter.

Zahl der verfügbaren Algorithmen für maschinelles Lernen

Auf wie viele unterschiedliche Algorithmen für maschinelles Lernen greift das Produkt zu und welchen Kategorien gehören die Algorithmen an? Wie oft wird aktualisiert, und wie oft werden neue Algorithmen herausgebracht?

Warum man danach fragen sollte: Der KI-Anbieter sollte in der Lage sein, alle Facetten möglicher Verhaltensweisen von Angreifern abzudecken (z.B. Command and Control, Reconnaissance, Lateral Movement und Exfiltration). Ihre Tools sollten jede dieser Vorgehensweisen im Detail verstehen und wiedererkennen. Nur so entkommt man dem vielzitierten Angreifervorteil: Während die Security pausenlos fehlerfrei arbeiten muss, um ihren Zweck zu erfüllen, reicht es dem Angreifer schon, wenn er einen einzigen Erfolg erzielt. Eine KI, die mit gleich mehreren Algorithmen nach einer Vielzahl verräterischer Vorgehensweisen von Cyberkriminellen fahndet, zwingt den Angreifern hohe Investitionen an Energie und Zeit auf, um unentdeckt zu bleiben.

Abgesehen davon sollten KI-Anbieter ihre Algorithmen für maschinelles Lernen permanent weiterentwickeln, damit die Systeme den kompletten Lebenszyklen komplexer Angriffe auf die Spur kommen.

Zeitaufwand fürs maschinelle Lernen

Wie lange dauert es, bis die Algorithmen für maschinelles Lernen in einer neuen Umgebung zum ersten Mal schädliche Vorgänge erkennen und melden? Wie viele Algorithmen verlangen generell nach einer Trainingszeit, und wie lange dauert diese dann an?

Warum man danach fragen sollte: Ein KI-Anbieter sollte auf diese Frage sofort eine Antwort parat haben. Nicht jede Form des maschinellen Lernens benötigt eine lange Vorlaufzeit, um zunächst Wissen zu akkumulieren und erst danach Antworten zu liefern. Verlangen alle Algorithmen eines Produkts nach einer langen Lernphase, zeigt dies, dass ausschließlich Techniken unüberwachten Lernens implementiert wurden. Diese erkennen lediglich Anomalien, ohne die Gründe dafür zu ermitteln, und generieren deshalb eine höhere Zahl an Meldungen, die anschließend manuelle Triage erfordern. Nutzt eine Lösung dagegen alle geeigneten Modelle maschinellen Lernens für die Aufdeckung von Angriffsvorgängen, kann sie sofort Resultate erbringen und überdies zuverlässiger wirklich verdächtiges Verhalten aus dem Grundrauschen der sonstigen Vorgänge im Netz herausfiltern. Nur so werden alle Chancen genutzt, um die Arbeitslast für Ihre Security-Operations-Teams zu verringern.

Risikogestützte Priorisierung

Wie priorisiert eine Lösung Hosts, die fürs Unternehmen kritisch sind und von denen ein hohes Risiko ausgeht, sodass sie im Falle eines Events die sofortige Aufmerksamkeit eines Analysten erfordern?

Warum man danach fragen sollte: Die Entscheidung darüber, wofür die Arbeitszeit eines Analysten verwendet werden sollte und welche Gegenmaßnahmen im Angriffsfall einzuleiten sind, verlangen nach einem guten Verständnis der betroffenen Assets und für das Risiko, das Ihrer Geschäftstätigkeit jeweils droht. Deshalb benötigt man eine Lösung, die die Höhe der Risiken, die von spezifischen Hosts in einem spezifischen Angriffsszenario ausgehen, zur Priorisierung von Events heranzieht – gleich, ob es sich um Workloads, Server oder IoT-Devices handelt. So ist sichergestellt, dass die Analysten Vorfälle mit dem höchsten Risiko zuerst bearbeiten, damit die Gesamtkosten und das Gesamtrisiko einer Verletzung der Informationssicherheit so gering gehalten werden wie möglich.

Integration ins Incident Management

Integriert sich ein Produkt nahtlos in existierende Prozesse für die Erkennung, die Meldung und die Bewältigung von Vorfällen – also auch in etablierte Incident-Response-Verfahren?

Warum man danach fragen sollte: Viele Unternehmen verfügen bereits über definierte Prozesse für Incident Response – mit festgelegten Arbeitsabläufen, zuständigen Mitarbeitern und technischen Lösungen. KI sollte sich in diese Prozesse einpassen und nicht als isolierte Silo-Lösung arbeiten. Ideal ist es, wenn die Erkenntnisse des KI-Produkts den Ausgangspunkt für tiefergehende Nachforschungen mit bereits vorhandenen Werkzeugen bilden. Die gesamte Security-Infrastruktur gewinnt so neue Fähigkeiten hinzu. Auf diese Weise erhöht sich die Effizienz der Lösungen, in die bereits investiert wurde.

Zusammenarbeit mit anderen Response-Produkten

Welche Integrationsmöglichkeiten bietet ein Produkt, um Firewalls, Endpoint-Security oder NAC zur Blockade oder Eindämmung erkannter Attacken heranzuziehen? Wie arbeitet das Produkt mit diesen Plattformen zusammen?

Warum man danach fragen sollte: Nicht alle Attacken sind gleich, deshalb sollten sich auch die Response-Maßnahmen unterscheiden. Eine KI-Plattform sollte ihre Erkenntnisse der existierenden Infrastruktur zur Verfügung stellen, damit weniger Zeit bis zum Start der Gegenwehr vergeht. Noch wichtiger ist, dass das Produkt dabei unterstützt, die jeweils richtigen Response-Aktionen zu wählen.

Nutzer dürfen erwarten, dass die Integration mit entsprechenden Systemen einfach und geradlinig abläuft – anderenfalls wird sie wahrscheinlich ganz unterbleiben. In diesem Fall vereitelt es die Komplexität der Implementierung, dass sie aus der neuen Lösung vollen Nutzen ziehen. Eine Integration kann über APIs, Event-Weiterleitung oder über Automatisierungs-Plattformen erfolgen, die für die Standardisierung der Kommunikation zwischen den Produkten sorgen.

Geringere Arbeitslast

In welchem Maße reduziert das Produkt die Arbeitslast der Security-Analysten? In welcher Form sind Effizienzsteigerungen zu erwarten?

Warum man danach fragen sollte: KI sollte dazu dienen, die Tätigkeit menschlicher Analysten zu unterstützen, damit diese ihren Job smarter und effizienter erledigen können. In der Praxis bedeutet dies, die Arbeitslast zu reduzieren, damit sich die Analysten auf die wichtigsten Vorkommnisse konzentrieren können. Dies lässt sich zum Teil dadurch erreichen, dass die Algorithmen für maschinelles Lernen ihren Output in einer für menschliche Empfänger verständlichen Form bereitstellen. Dazu gehören Hinweise, was eine erkannte Bedrohung wirklich bedeutet, wie ein Analyst einen Alarm verifizieren kann und mit welchen Schritten er am besten dagegen vorgeht.

Wenn der Output einer Lösung stattdessen eher komplex ist und die Arbeitslast für einen Analysten sogar erhöht, weil er die Ergebnisse erst einmal entschlüsseln und dann näher untersuchen muss, haben Nutzer es nicht wirklich mit künstlicher Intelligenz zu tun.

Unabhängige Tests

Unterstützt das Produkt Penetration-Tests durch unabhängige Spezialisten, die die Algorithmen für maschinelles Lernen und die KI-Leistung mit fingierten Angriffen auf die Probe stellen? Übernehmen Hersteller die Kosten für solche Tests, wenn das Produkt keine der Probe-Attacken erkennt?

Warum man danach fragen sollte: Nutzer sollten Werkzeuge für die Angriffserkennung immer mittels realitätsnaher Szenarien testen, um sicherzustellen, dass sie bei einem echten Angriff tatsächlich funktionieren.

Jedes Produkt, das für die Aufdeckung von Cyber-Attacken gedacht ist, sollte alle Tricks der Angreifer kennen und verstehen, wie echte Angriffe ablaufen. Sollte sich bei einer Notfallübung herausstellen, dass die Erkennungstechnik versagt und dass das Tool die Schritte der Angreifer nicht bemerkt – wie nützlich ist es dann wirklich? Sollte in diesem Fall nicht der Anbieter die Kosten für den Probelauf übernehmen, weil sich seine Lösung als Quacksalberei entpuppt hat? Ein Hersteller, der seinem eigenen Ansatz vertraut, sollte mit einer entsprechenden Zusicherung kein Problem haben.

Fernzugriff durch den Anbieter

Empfehlen der Hersteller, während der Evaluierungsphase menschlichen Analysten Remote-Zugriff auf sein Produkt zu gewähren? Warum?

Warum man danach fragen sollte: Anbieter erheben gern Metadaten aus den Umgebungen ihrer Kunden, um ihre Technologie langfristig weiterzuentwickeln und die Leistung ihrer Systeme zu verbessern. Auf der Basis der Metadaten entsteht für den Hersteller eine hervorragende Feedback-Schleife. Von einigen Anbietern allerdings weiß man, dass sie während der Evaluierungsphase ihres Produkts menschliche Analysten zuschalten, die manuell nach Bedrohungen suchen und sie analysieren. Das Ziel dieser Vorgehensweise ist es, sicherzustellen, dass am Ende ein positiver Report über die Leistung des Produkts entsteht – aber sollte die KI nicht autonom arbeiten? Was ist, wenn die Evaluierungsphase beendet ist und der Analyst seine Tätigkeiten einstellt? KI hat den Zweck, die Arbeitslast Ihrer Teams zu verringern und deren Effizienz zu steigern, damit sie Cyber-Attacken schneller erkennen und auf sie reagieren. Einen vom Anbieter eingestellten Analysten dafür einzusetzen, dass das Evaluierungsergebnis gut aussieht, ist der falsche Ansatz.

www.vectra.ai
 

GRID LIST
Hacker

Digitale Kommunikation wirkungsvoll gegen Hacker verteidigen

Unverschlüsselte E-Mails öffnen Cyber-Kriminellen Tür und Tor – dennoch sind sie in den…
Tb W190 H80 Crop Int 5c656c2bb18d2e8e598dd42a06f4e69a

Juniper Networks erweitert Cybersecurity-Plattform

Gezielte Angriffe werden immer ausgefeilter und Unternehmen jeder Größe werden von den…
Tb W190 H80 Crop Int 7b240a672f346adba7106f43f59804b0

Industrial Security neu denken

Industrial Security ist spätestens nach dem diesjährigen Lagebericht des BSI wieder in…
Data Breach Detection

Tipps für Data Breach Detection

Mit den bewährten Best Practices dieser Checkliste können Unternehmen unerwünschte…
Oliver Keizers

Integration von Security-Tools - Den Wald vor lauter Bäumen nicht sehen

"Den Wald vor lauter Bäumen nicht sehen" lässt sich gut auf die Situation in vielen…
Tb W190 H80 Crop Int 756f2d2c4f6fbb1774da012155e3a3b1

Apama EagleEye: KI-unterstützte Marktüberwachungslösung

Die Software AG hat Apama EagleEye vorgestellt, ein Marktüberwachungssystem, das eine…
Smarte News aus der IT-Welt

IT Newsletter


Hier unsere Newsletter bestellen:

 IT-Management

 IT-Security