Der bessere Algorithmus gewinnt „Gute“ KI gegen „böse“ KI

Anbieter zum Thema

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

Onapsis Europe GmbH

Die Prognose wird langsam Realität: Cyberkriminelle nutzen zunehmend KI-Lösungen, da einige Tools Angriffe deutlich vereinfachen. Herkömmliche Security-Ansätze können diese nicht mehr aufdecken, damit müssen sich Unternehmen mit Hilfe von KI schützen. So wird IT-Sicherheit zu einem Wettbewerb zwischen KI-Systemen.

Aktuelle KI-Tools wie ChatGPT erzielen bereits beeindruckende Ergebnisse – die automatisch erstellten Texte lassen sich oft kaum noch von manuell geschriebenen unterscheiden. Doch wie jede Technologie können sie zum Guten oder zum Bösen verwendet werden. So probieren Cyberkriminelle bereits die Eigenschaften von ChatGPT für Cyberangriffe im großen Stil aus. Dies umfasst nicht nur Texte für Phishing-Mails, sondern auch mit Hilfe der Programmier­funktionen eine direkte automatische Code-Entwicklung. Damit muss der Angreifer selbst keine Programmier­kenntnisse mehr haben, wodurch diese Einstiegshürde deutlich sinkt.

Security-Insider Podcast – Folge 66

Features und Fehler der Blackbox ChatGPT

Die zu erwartenden Folgen: viel mehr Angriffe durch Script-Kiddies oder „Hobby-Hacker“ sowie eine wesentlich höhere Flexibilität und Variabilität der Malware. Für Unternehmen bedeutet dies aber nicht nur eine Steigerung der Intensität von Attacken, sondern auch einen echten Paradigmenwechsel. Denn herkömmliche Security-Lösungen und -Ansätze können die neuartigen Bedrohungen nicht mehr abwehren.

Eine völlig veränderte Situation

Warum ist das so? Für die Antwort hilft ein Blick zurück. Bis vor zehn Jahren verließen sich die Security-Tools zur Erkennung von Bedrohungen in der Regel auf bekannte Muster in der Malware, so genannte Signaturen. Entsprechend suchten sie nach exakten Übereinstimmungen mit bereits bekannten Schadprogrammen. Bei geringer Variabilität des Angriffscodes reicht dieser Ansatz aus.

Seitdem wurden die Attacken jedoch immer raffinierter und sie verändern sich ständig. Hinzu kommt die zunehmende Vernetzung der Unternehmen mit komplexen Lieferketten, hybriden Multicloud-Umgebungen und dem Internet der Dinge. Dadurch vergrößert sich deutlich die mögliche Angriffsfläche.

Heute ist klar, dass die einfache Mustererkennung mit der Geschwindigkeit dieser Entwicklungen nicht mithalten kann. Gleichzeitig können menschliche Security-Teams nicht mehr den Umfang und die Komplexität der Sicherung moderner IT-Umgebungen bewältigen. Mit steigenden KI-basierten Angriffen wird es daher immer dringlicher, KI-basierte Sicherheitslösungen einzusetzen. Denn nur diese können mit der Menge und Variabilität der Attacken Schritt halten.

Reaktive, lernende KI

Inzwischen stehen zahlreiche KI-basierte Security-Tools verschiedener Anbieter zur Verfügung. Doch hier lohnt sich ein genaues Hinsehen. Viele davon suchen mit Hilfe von Machine Learning nach Ähnlichkeiten mit zuvor aufgetretenen Angriffen.

Das ist zwar besser als starre Signaturen, bleibt aber reaktiv. Das heißt, solche Lösungen können keine völlig neuen Angriffstechniken erkennen. Denn im Prinzip basieren sie immer noch auf denselben historischen Angriffsdaten. Der Ansatz erfordert weiterhin einen ersten erfolgreichen Angriff, um ähnliche zu entdecken.

Dieses „Vortraining“ auf Basis bekannter Daten wird auch als überwachtes maschinelles Lernen bezeichnet. Das Problem ist jedoch, dass dieser Ansatz nur so gut funktioniert, wie es sein historischer Trainingssatz erlaubt. Dabei ist ein zentralisierter Datenspeicher in der Cloud nötig, um die Kundendaten umfassend zu analysieren. Der Trainingssatz muss ständig aktualisiert werden, und neue Erkenntnisse sind an jeden Kunden weiterzugeben. Bis dann ein Unternehmen von einer neuen Bedrohung erfährt, ist es aber oft schon zu spät – und unbekannte Bedrohungen werden gar nicht entdeckt.

Aktive, mitdenkende KI

Aufgrund der hohen Variabilität von Angriffen und der immer stärkeren individuellen Anpassung an ihre Opfer, benötigen Unternehmen heute jedoch einen schnellen, aktiven und maßgeschneidertem Schutz. Dieser sollte sowohl Fehlalarme vermeiden als auch sämtliche Angriffe zuverlässig erkennen. Das kann keine Standardlösung bieten. Denn hierzu ist der Kontext des jeweiligen Unternehmens, das geschützt werden soll, zu berücksichtigen.

Auch solche Lösungen gibt es bereits. Sie verfolgen einen grundlegend anderen Ansatz zur Abwehr des gesamten Angriffsspektrums. Anstatt einer Maschine beizubringen, wie eine Attacke aussieht, lernt die KI beim unüberwachten maschinellen Lernen das Unternehmen und seine Umgebung erst kennen. So versteht sie, was in dieser einzigartigen digitalen Umgebung „normal“ ist – eine entscheidende Voraussetzung zum Erkennen von Abweichungen und anormalem Verhalten.

KI ist nicht gleich KI

Den Unterschied zwischen diesen ML-Ansätzen zeigen die weit verbreiteten Hafnium-Angriffe auf Microsoft Exchange Server im vergangenen Jahr. Dabei handelte es sich um neuartige Kampagnen, die von unüberwachtem ML in Echtzeit in vielen Kundenumgebungen erkannt und gestoppt wurden. Zu diesem Zeitpunkt lagen keinerlei Informationen über diese Bedrohung vor. Im Gegensatz dazu waren andere Unternehmen mit überwachtem ML der Gefahr schutzlos ausgeliefert, bis Microsoft sie einige Monate später bekannt gab.

Das belegt die Vorteile von unüberwachtem ML: autonomes Erkennen, Untersuchen und Reagieren – selbst auf fortschrittliche und unbekannte Bedrohungen – auf Basis eines individuellen Verständnisses der zu schützenden IT-Umgebung. Dieses Verständnis für jeden Benutzer und jedes Gerät im gesamten Unternehmen entwickelt sich im laufenden Betrieb weiter.

So erkennt unüberwachtes ML auch neuartige KI-basierte Angriffe, sobald diese damit beginnen, Daten zu manipulieren, Abwehrmaßnahmen zu umgehen oder andere ungewöhnliche Aktivitäten durchzuführen. Damit dürfte Geschwindigkeit die wichtigste Disziplin im Wettbewerb KI gegen KI sein. Denn es bleibt die Frage, wie schnell KI-Attacken das kurze Zeitfenster bis zu ihrer Entdeckung ausnutzen können – und wie schnell die KI-Abwehr reagiert. Das Rennen geht also auf einem neuen Niveau weiter.

Über den Autor: Max Heinemeyer ist Cybersecurity-Experte bei Darktrace.

(ID:49410714)