Next Generation SharePoint
22.02.18 - 22.02.18
In München

BIG DATA Marketing Day
22.02.18 - 22.02.18
In München

SAMS 2018
26.02.18 - 27.02.18
In Berlin, Maritim proArte

EuroCIS 2018
27.02.18 - 01.03.18
In Düsseldorf, Messe Halle 9 und 10

BIG DATA Marketing Day
27.02.18 - 27.02.18
In Wien

KI - Cyber Security

Vectra, Anbieter von IT-Sicherheitslösungen auf Basis künstlicher Intelligenz, beurteilt die gegenwärtig als „Allheilmittel“ gegen Cyberattacken proklamierte Fokussierung auf Anomalie-Erkennung.

Das Unternehmen hält diesen Trend für hochgradig irreführend. Nach Meinung von Vectra liegt das zentrale Problem darin, dass Abnormitäten-Erkennung zu stark verallgemeinert: Jedes normale Verhalten gilt als gut, jedes unnormale als schlecht – Abstufungen und Kontext bleiben dabei unbeachtet. Wo pure Anomalie-Erkennung zum Zuge kommt, verschwimmen die Grenzen zwischen Anwenderverhalten und Angreiferverhalten, obwohl sich beide fundamental unterscheiden. Dies kann unerwünschte Folgen haben.

Gérard Bauer, VP EMEA bei Vectra, gibt zu bedenken: „Menschen tun doch alles Notwenige, um ihre Jobs erledigen zu können – und so lesen sie E-Mails auch dann, wenn sie im Ausland Urlaub machen, und sie loggen sich durchaus einmal morgens um drei Uhr ein und laden Dateien herunter, weil sie mit Ideen für ein neues Projekt aufgewacht sind. Solche gut gemeinten Aktivitäten können dann verdächtig erscheinen. Gleichzeitig gilt, dass ausgefuchste Cyber-Kriminelle besonders gut darin sind, akzeptierte Praktiken nachzuahmen und ihre Aktivitäten unter ganz normale Vorgänge zu mischen. Die Konsequenz: Anbieter von Anomalie-Erkennungslösungen picken mit größerer Wahrscheinlichkeit gute Mitarbeiter heraus, die bei ihrer Arbeit lediglich etwas unkonventionell vorgehen, als dass sie tatsächlich einen Angreifer identifizieren und bloßstellen.“

Zum besseren Verständnis liefert Vectra den folgenden Vergleich: Man kann Abnormitäten-Erkennung mit der Polizeipraxis anlassloser, blinder Durchsuchungen vergleichen. 2015 beispielsweise fand man in New York bei 99,5 Prozent aller entsprechenden Zugriffe auf verdächtig erscheinende Personen keinerlei Schusswaffen. Zehntausende von Durchsuchungen und nur eine Handvoll Waffen. Anders ausgedrückt: Um die geringe Zielsicherheit wahlloser Durchsuchungen wettzumachen, muss man hohen Personalaufwand und Ineffizienz akzeptieren. Stellt man aber diesem Vorgehen einmal Durchsuchungen gegenüber, bei denen ein Terahertz-Detektor (T-Ray) eingesetzt wird, der unaufdringlich und schnell ein Wärmebild einer Person liefert, dann ändert sich das Bild. Trägt jemand eine verborgene Waffe, hebt sich deren kaltes Abbild als Umriss vor dem warmen menschlichen Körper ab. Um die Analogie zu Ende zu führen: Der Erkennung von abnormalem Verhalten fußt auf dem Cybersecurity-Äquivalent des „Racial Profilings“, also jener Praxis, Menschen allein aufgrund äußerer Merkmale als verdächtig einzuschätzen – weil die Technik einfach auf alles reagiert, was grundsätzlich „anders“ ist.

„Der „T-Ray“-Methode aus dem Beispiel entspricht im Umfeld von Cybersicherheit die Nutzung künstlicher Intelligenz. Ich empfehle diese dazu einzusetzen, um zwischen den allzu allgemein gefassten und allzu leicht irreführenden „unnormalen Verhaltensweisen“ und den hervorstechenden, sehr spezifischen Identifikationsmerkmalen echten Angreiferverhaltens zu unterscheiden“, erklärt Gérard Bauer.

Die Hersteller Lösungen, die rein auf die Erkennung von Anomalien setzen, verlangen von Cybersecurity-Analysten, jedes einzelne verdächtige Event im Detail zu untersuchen, ob nun wirklich etwas dahintersteckt oder nicht – getreu der These: „Wo Rauch ist, ist auch Feuer“. Bei anomalem Verhalten hat man es aber mit Unmengen von Rauch zu tun, ohne dass es irgendwo brennt, während die Security-Analysten jedem noch so kleinen Rauchfähnchen hinterherjagen müssen, bei der Verfolgung falscher Fährten Zeit und Geld verbrennen und zugleich blind bleiben für die echten Bedrohungen.

Wer hat dafür Zeit und Geld? Und, was noch wichtiger ist, wer setzt schon gern sein intellektuelles Eigentum und den Ruf seines Unternehmens für einen Security-Ansatz aufs Spiel, der derartige Mängel hat?

Ein weitere Phänomen, das dieses „zu grobe“ Vorgehen fragwürdig macht, sind Insider-Attacken. Die Anzeichen für Bedrohungen von innen können ebenfalls in die Irre führen. „Es hat einige spektakuläre Hacks gegeben, bei denen anomales Verhalten eine Rolle spielte, wie etwa die Weitergabe klassifizierter Informationen durch Edward Snowden“, so Gérard Bauer. „Die eindeutige Überzahl der Angriffe von innen war aber deshalb erfolgreich, weil es gelang, das Vorgehen unter normalen Aktivitäten zu verbergen. Die Attacken wurden erst lange Zeit nach den umfangreichen Schäden entdeckt, die sie verursacht hatten.“

Beim Scheinkonten-Skandal bei Wells Fargo in den USA sah es so aus, als würden die Angestellten ganz einfach ihren Job machen – nur eben ein wenig „zu gut“, wie sich später herausstellte. Sie kannten und nutzten die Standard-Prozesse, und sie setzten ihre Anmeldedaten ordnungsgemäß ein. Sie überschritten weder ihre Zugangs- noch ihre Zugriffsberechtigungen.

„Ausgefeilte Cyberattacken zeigen meist das gleiche Verhalten. Sie mischen sich unters normale Geschehen – und wenn das Security-Team nicht gezielt nach Zeichen für Angriffsverhalten sucht statt nur auf bloße Abnormitäten zu achten, hat es keine wirkliche Chance, diesen Attacken Paroli zu bieten“, fasst Gérard Bauer abschließend zusammen. “Das ist die hässliche Wahrheit über den mäßigen Wert simpler Anomalie-Erkennung.“ 

www.vectranetworks.com
 

GRID LIST
Tb W190 H80 Crop Int 5432ffa496aad4fc3d07ed53b63df31e

Warum IT- und OT-Netzwerke einen einheitlichen Sicherheitsansatz benötigen

Mit der steigenden Verbreitung von Produktionsnetzwerken,wächst auch der Bedarf an…
Tb W190 H80 Crop Int C3ad42b7c8d7e07e83500eac0c996009

IT-Sicherheit auf der Rennstrecke

Mehr als die Hälfte der Unternehmen in Deutschland (rund 53 Prozent) sind in den…
Tb W190 H80 Crop Int 60c948299ec6ed8114ef0acdb6b25f11

SonicWall mit neuer Technologie: Real-Time Deep Memory Inspection

SonicWall hat mit einer neuen Capture Cloud Engine hunderte Malware-Varianten…
Tb W190 H80 Crop Int F051567a083a625588e986bd0718b3d0

DriveLock Managed Endpoint Protection

Cyberangriffe beschränken sich schon lange nicht mehr auf das Netzwerk und die…
Tb W190 H80 Crop Int A605e9036e052c4e524e16631e127d63

Endian UTM Mercury 50: Skalierbare Netzwerksicherheit für den Remote-Einsatz

Endian UTM Mercury 50 gestattet für ein kleines Budget Hochleistungsdurchsatz und…
Tb W190 H80 Crop Int 0585afa5d97ff8c6d1669002374e37e3

Übersichtliche Dashboards für die Web Application Firewall

Airlock, das Security-Produkt des Schweizer Softwareentwicklers Ergon Informatik AG,…
Smarte News aus der IT-Welt

IT Newsletter


Hier unsere Newsletter bestellen:

 IT-Management

 IT-Security