VERANSTALTUNGEN

PM Forum 2018
23.10.18 - 24.10.18
In Nürnberg

PM Forum 2018
23.10.18 - 24.10.18
In Nürnberg

MCC Fachkonferenz CyberSecurity für die Energiewirtschaft
24.10.18 - 25.10.18
In Köln

Panda Security: IT Security Breakfast
26.10.18 - 26.10.18
In Spanischen Botschaft in Berlin

Transformation World 2018
07.11.18 - 08.11.18
In Print Media Academy, Heidelberg

KI - Cyber Security

Vectra, Anbieter von IT-Sicherheitslösungen auf Basis künstlicher Intelligenz, beurteilt die gegenwärtig als „Allheilmittel“ gegen Cyberattacken proklamierte Fokussierung auf Anomalie-Erkennung.

Das Unternehmen hält diesen Trend für hochgradig irreführend. Nach Meinung von Vectra liegt das zentrale Problem darin, dass Abnormitäten-Erkennung zu stark verallgemeinert: Jedes normale Verhalten gilt als gut, jedes unnormale als schlecht – Abstufungen und Kontext bleiben dabei unbeachtet. Wo pure Anomalie-Erkennung zum Zuge kommt, verschwimmen die Grenzen zwischen Anwenderverhalten und Angreiferverhalten, obwohl sich beide fundamental unterscheiden. Dies kann unerwünschte Folgen haben.

Gérard Bauer, VP EMEA bei Vectra, gibt zu bedenken: „Menschen tun doch alles Notwenige, um ihre Jobs erledigen zu können – und so lesen sie E-Mails auch dann, wenn sie im Ausland Urlaub machen, und sie loggen sich durchaus einmal morgens um drei Uhr ein und laden Dateien herunter, weil sie mit Ideen für ein neues Projekt aufgewacht sind. Solche gut gemeinten Aktivitäten können dann verdächtig erscheinen. Gleichzeitig gilt, dass ausgefuchste Cyber-Kriminelle besonders gut darin sind, akzeptierte Praktiken nachzuahmen und ihre Aktivitäten unter ganz normale Vorgänge zu mischen. Die Konsequenz: Anbieter von Anomalie-Erkennungslösungen picken mit größerer Wahrscheinlichkeit gute Mitarbeiter heraus, die bei ihrer Arbeit lediglich etwas unkonventionell vorgehen, als dass sie tatsächlich einen Angreifer identifizieren und bloßstellen.“

Zum besseren Verständnis liefert Vectra den folgenden Vergleich: Man kann Abnormitäten-Erkennung mit der Polizeipraxis anlassloser, blinder Durchsuchungen vergleichen. 2015 beispielsweise fand man in New York bei 99,5 Prozent aller entsprechenden Zugriffe auf verdächtig erscheinende Personen keinerlei Schusswaffen. Zehntausende von Durchsuchungen und nur eine Handvoll Waffen. Anders ausgedrückt: Um die geringe Zielsicherheit wahlloser Durchsuchungen wettzumachen, muss man hohen Personalaufwand und Ineffizienz akzeptieren. Stellt man aber diesem Vorgehen einmal Durchsuchungen gegenüber, bei denen ein Terahertz-Detektor (T-Ray) eingesetzt wird, der unaufdringlich und schnell ein Wärmebild einer Person liefert, dann ändert sich das Bild. Trägt jemand eine verborgene Waffe, hebt sich deren kaltes Abbild als Umriss vor dem warmen menschlichen Körper ab. Um die Analogie zu Ende zu führen: Der Erkennung von abnormalem Verhalten fußt auf dem Cybersecurity-Äquivalent des „Racial Profilings“, also jener Praxis, Menschen allein aufgrund äußerer Merkmale als verdächtig einzuschätzen – weil die Technik einfach auf alles reagiert, was grundsätzlich „anders“ ist.

„Der „T-Ray“-Methode aus dem Beispiel entspricht im Umfeld von Cybersicherheit die Nutzung künstlicher Intelligenz. Ich empfehle diese dazu einzusetzen, um zwischen den allzu allgemein gefassten und allzu leicht irreführenden „unnormalen Verhaltensweisen“ und den hervorstechenden, sehr spezifischen Identifikationsmerkmalen echten Angreiferverhaltens zu unterscheiden“, erklärt Gérard Bauer.

Die Hersteller Lösungen, die rein auf die Erkennung von Anomalien setzen, verlangen von Cybersecurity-Analysten, jedes einzelne verdächtige Event im Detail zu untersuchen, ob nun wirklich etwas dahintersteckt oder nicht – getreu der These: „Wo Rauch ist, ist auch Feuer“. Bei anomalem Verhalten hat man es aber mit Unmengen von Rauch zu tun, ohne dass es irgendwo brennt, während die Security-Analysten jedem noch so kleinen Rauchfähnchen hinterherjagen müssen, bei der Verfolgung falscher Fährten Zeit und Geld verbrennen und zugleich blind bleiben für die echten Bedrohungen.

Wer hat dafür Zeit und Geld? Und, was noch wichtiger ist, wer setzt schon gern sein intellektuelles Eigentum und den Ruf seines Unternehmens für einen Security-Ansatz aufs Spiel, der derartige Mängel hat?

Ein weitere Phänomen, das dieses „zu grobe“ Vorgehen fragwürdig macht, sind Insider-Attacken. Die Anzeichen für Bedrohungen von innen können ebenfalls in die Irre führen. „Es hat einige spektakuläre Hacks gegeben, bei denen anomales Verhalten eine Rolle spielte, wie etwa die Weitergabe klassifizierter Informationen durch Edward Snowden“, so Gérard Bauer. „Die eindeutige Überzahl der Angriffe von innen war aber deshalb erfolgreich, weil es gelang, das Vorgehen unter normalen Aktivitäten zu verbergen. Die Attacken wurden erst lange Zeit nach den umfangreichen Schäden entdeckt, die sie verursacht hatten.“

Beim Scheinkonten-Skandal bei Wells Fargo in den USA sah es so aus, als würden die Angestellten ganz einfach ihren Job machen – nur eben ein wenig „zu gut“, wie sich später herausstellte. Sie kannten und nutzten die Standard-Prozesse, und sie setzten ihre Anmeldedaten ordnungsgemäß ein. Sie überschritten weder ihre Zugangs- noch ihre Zugriffsberechtigungen.

„Ausgefeilte Cyberattacken zeigen meist das gleiche Verhalten. Sie mischen sich unters normale Geschehen – und wenn das Security-Team nicht gezielt nach Zeichen für Angriffsverhalten sucht statt nur auf bloße Abnormitäten zu achten, hat es keine wirkliche Chance, diesen Attacken Paroli zu bieten“, fasst Gérard Bauer abschließend zusammen. “Das ist die hässliche Wahrheit über den mäßigen Wert simpler Anomalie-Erkennung.“ 

www.vectranetworks.com
 

GRID LIST
Tb W190 H80 Crop Int 473f1a871a5501d106c3efe11521f17a

Schwachstellenmanagement ohne Priorisierung ist ein Ding der Unmöglichkeit

Schwachstellenmanagement beziehungsweise Vulnerability Management ist ein unverzichtbarer…
Tb W190 H80 Crop Int 28ce87d7cd96844fa4f1f9d045c20067

Network Box schützt „Kronjuwelen“

Die IT-Branche in Deutschland wächst. Mittlerweile arbeiten rund eine Million Menschen in…
Tb W190 H80 Crop Int 69bd67d0766bcf55730eef75a3612605

IT-Sicherheit nach Maß

65 Experten kümmern sich beim Energieversorger Innogy um die Cybersicherheit,…
Firewall Concept

DSGVO-konform – Die neue TUX-Firewall TG-0500

Zum Schutz personenbezogener Daten verlangt die EU-DSGVO „angemessene technische und…
Hacking Detected

Managed Security Service Provider als Antwort auf den Fachkräftemangel

Aufgrund des anhaltenden Fachkräftemangels im IT-Sicherheitsumfeld steigt die Nachfrage…
Tb W190 H80 Crop Int 004c3381798b4f8b8137447720d1dc24

Zu Risiken und Ausfällen fragen Sie Ihren Geschäftsführer oder Sicherheitsbeauftragten

Ein erfolgreich etabliertes und gelebtes Risikomanagement bildet eines der Kernelemente…
Smarte News aus der IT-Welt