Strategien für den Einsatz von Large Language Models LLMs für Cybersecurity-Aufgaben nutzen

Große Sprachmodelle (Large Language Models, kurz LLM) sind ein wichtiges Diskussionsthema bei Strategiesitzungen in allen Branchen, einschließlich der Cybersicherheit. Um zu verstehen, wie genau die Cyber­sicherheits­branche von dieser fortschrittlichen KI-Technologie profitieren könnte, werden in diesem Beitrag die LLM-Technologie und die Cyber­sicherheits­aufgaben, die sie lösen kann, näher erläutert.

Das Aufkommen von Large Language Models, kurz LLMs, eröffnet neue Möglichkeiten im Bereich der Cybersicherheit. Während ChatGPT die Öffentlichkeit mit seinem kreativen Ansatz und seinen menschenähnlichen Fähigkeiten zur Verarbeitung natürlicher Sprache in seinen Bann gezogen hat, versuchen Unternehmen, LLMs zu nutzen, um ihre Produkte und Prozesse zu verbessern und neue Dienstleistungen anzubieten. Bevor wir spezifische Anwendungsfälle im Bereich der Cybersicherheit näher erörtern, wollen wir uns zunächst die gängigsten Strategien zur Nutzung der LLM-Technologie ansehen.

Eine einfache Strategie besteht darin, geschlossene und kommerzielle LLM-Anbieter wie GPT-4 von OpenAI oder Gemini von Google zu verwenden. Dies funktioniert gut in Fällen, in denen Informationen aus öffentlichen Webdaten. Im Bereich der Cybersicherheit könnte dies bedeuten, dass öffentliche Bedrohungsdaten abgerufen werden, ethische Hacking-Ratschläge angeboten werden oder Hilfe beim Schreiben von sicherem Code geleistet wird.

Der entgegengesetzte Ansatz könnte darin bestehen, ein LLM von Grund auf zu entwickeln oder zu trainieren. Dies erfordert große Datenmengen, Computerressourcen und ein qualifiziertes Team für Schulung und Einsatz. Für die meisten Unternehmen ist dies aufgrund der hohen Kosten nicht durchführbar. Daher bevorzugen die meisten Unternehmen entweder: (a) die Anpassung eines vortrainierten Closed-Source-LLM über APIs oder (b) die Anpassung eines vortrainierten Open-Source-Modells wie Llama. Sobald eine geeignete Option ausgewählt wurde, besteht der nächste Schritt in der Auswahl des richtigen LLM-Modells und der Anpassungsmethode.

Die Anpassung ist von entscheidender Bedeutung, da sie es generischen, vorab geschulten LLMs ermöglicht, spezifische Cybersicherheitsaufgaben zu bewältigen. Anpassungsmethoden werden im Allgemeinen in drei Kategorien eingeteilt: Prompt Engineering, Feinabstimmung und externe Erweiterung.

• Prompt-Engineering beinhaltet die Anleitung von LLMs zur Durchführung von Aufgaben und zur Präsentation von Ergebnissen unter Verwendung natürlicher Sprache, oft durch die Bereitstellung einiger Beispiele von Fragen und zugehörigen Antworten.

• Externe Erweiterungen verbessern das LLM-Wissen, indem sie relevante Informationen aus externen Quellen, wie Datenbanken, abrufen. MagicUnprotect nutzt diese Methode zum Beispiel, um Informationen über Malware-Umgehungstechniken zu finden.

• Bei der Feinabstimmung werden die Parameter eines Modells mithilfe spezieller Datensätze so angepasst, dass sie für bestimmte Aufgaben besser geeignet sind. Diese Methode ist komplexer als Prompt-Engineering oder eine externe Erweiterung, kann aber sehr genaue Ergebnisse liefern. Beispiele hierfür sind Googles Sec-PaLM, ein PaLM-Modell, das für Sicherheitszwecke feinabgestimmt wurde, und SecureFalcon, das für die Erkennung von Softwareschwachstellen feinabgestimmt wurde.

Es ist wichtig anzumerken, dass LLMs zwar bei legitimen Cybersicherheitsbemühungen helfen können, aber auch von Cyberkriminellen für Phishing, die Erstellung von Malware und mehr verwendet werden können. Dieser Beitrag konzentriert sich jedoch auf ihre legitime Verwendung in der Cybersicherheit.

1. Erkennung von Bedrohungen und Aufklärung

Einer der wichtigsten Aspekte der Cybersicherheit ist die frühzeitige Erkennung und Analyse potenzieller Bedrohungen. LLMs können große Mengen unstrukturierter Daten wie Logs (siehe LogGPT), E-Mails, Malware, Phishing-Websites und Netzwerkverkehr verarbeiten und analysieren, um Anomalien oder bösartige Muster in verschiedenen Arten von unstrukturierten Daten im Zusammenhang mit Cybersicherheit zu erkennen. Bei der Auswahl von LLMs für die Erkennung von Bedrohungen ist es von Vorteil, die Option der Verwendung proprietärer maschineller Lernmodelle in Betracht zu ziehen, die weniger rechenintensiv sind, einen höheren Durchsatz haben und kosteneffizient sind, aber möglicherweise mit einer leichten Leistungsverschlechterung einhergehen.

Neben der Erkennung von Bedrohungen können LLMs auch bei der Generierung und Analyse von Informationen über Cyber-Bedrohungen wirksam sein. Angesichts ihrer Fähigkeit, menschliche Sprache zu interpretieren, könnte ein potenzieller Anwendungsfall im Bereich der Cyber-Bedrohungsaufklärung eine Konversationsschnittstelle zur Interpretation von öffentlichen und kommerziellen Sicherheitsberichten und von Informationen aus kriminellen Foren wie Darkweb sowie die Erstellung von Berichten auf der Grundlage solcher Informationen umfassen.

2. Reaktion auf Zwischenfälle und Automatisierung

Eine wirksame Reaktion auf Zwischenfälle im Bereich der Cybersicherheit erfordert rechtzeitige und genaue Informationen. LLMs können bei der Automatisierung vieler Aspekte des Incident-Response-Prozesses helfen, von der Einstufung von Warnmeldungen bis zur Verbesserung von Incident-Response-Plänen. Durch die schnelle Zusammenfassung großer Datenmengen und die Bereitstellung verwertbarer Erkenntnisse ermöglichen LLMs den Sicherheitsteams eine effizientere Reaktion auf Zwischenfälle.

Darüber hinaus können LLMs bei der Erstellung und Aktualisierung von Playbooks für die Reaktion auf Zwischenfälle beraten und die in den Reaktionsplänen auf Zwischenfälle verwendeten Standardbetriebsverfahren verbessern, wodurch sichergestellt wird, dass Sicherheitsteams Zugang zu den neuesten Best Practices und Verfahren haben. Darüber hinaus können LLMs auch in SIEM-Systeme (Security Information and Event Management) integriert werden, um die Priorisierung von Warnmeldungen nach Schweregrad und Kontext der Bedrohung zu unterstützen. Die Automatisierungsfunktionen von LLMs entlasten die menschlichen Analysten und ermöglichen es ihnen, sich auf komplexere Aufgaben zu konzentrieren, die menschliches Urteilsvermögen erfordern.

3. Sicherheitskodierung und Schwachstellenmanagement

Das Schwachstellenmanagement ist eine ständige Herausforderung für Cybersicherheitsteams. LLMs können diesen Prozess durch die Analyse von Daten aus Schwachstellendatenbanken, Patch-Hinweisen und Sicherheitshinweisen verbessern, um die kritischsten Schwachstellen zu identifizieren, die behoben werden müssen. Indem sie die potenziellen Auswirkungen einer Schwachstelle im Kontext der spezifischen Umgebung eines Unternehmens verstehen, können LLMs dabei helfen, die Prioritäten für Patching-Maßnahmen effektiver zu setzen.

Neben der Identifizierung und Behebung von Sicherheitslücken können LLMs die Sicherheit von Codes verbessern, indem sie Entwicklern dabei helfen, einen sichereren Code zu schreiben und potenzielle Sicherheitslücken während der Entwicklung zu erkennen. Beispielsweise könnten Code-Reviews durch die automatische Identifizierung potenzieller Sicherheitsschwachstellen, wie Injektionsangriffe, durchgeführt werden und den Entwicklern Echtzeit-Feedback und Vorschläge zur Behebung liefern. Bei Sicherheitsaudits können LLMs große Codebasen analysieren, um Muster und Anomalien zu erkennen, die auf Sicherheitsrisiken hindeuten können, und bieten so eine umfassendere Bewertung als herkömmliche Methoden. Bei der Erkennung von Fehlern und Schwachstellen können LLMs den Code auf bekannte Schwachstellen und unsichere Kodierungspraktiken untersuchen und so dazu beitragen, Probleme frühzeitig im Entwicklungsprozess zu erkennen. Sie können auch sichere Codeschnipsel generieren und Verbesserungen vorschlagen (ähnlich wie der Copilot von Github), wodurch die Wahrscheinlichkeit der Einführung neuer Schwachstellen verringert wird. Darüber hinaus können LLMs dabei helfen, die Ergebnisse klar und einheitlich zu dokumentieren und zu melden, was die Kommunikation zwischen Entwicklungs- und Sicherheitsteams erleichtert.

4. Sicherheitsbewusstsein und Schulung

Menschliches Versagen ist nach wie vor eine der Hauptursachen für Sicherheitsverstöße. LLMs können eine entscheidende Rolle bei der Verbesserung des Sicherheitsbewusstseins und der Schulungsprogramme spielen, indem sie personalisierte und kontextbezogene Schulungsinhalte bereitstellen. LLMs können in diesem Kontext zudem realistische Phishing-Simulationen oder andere Social-Engineering-Szenarien erstellen, die auf die spezifischen Risiken einer Organisation zugeschnitten sind. Dieser gezielte Schulungsansatz stellt sicher, dass die Mitarbeiter besser darauf vorbereitet sind, Cyber-Bedrohungen zu erkennen und auf sie zu reagieren. Darüber hinaus können LLMs bei der Erstellung von ansprechendem und aktuellem Schulungsmaterial behilflich sein, wodurch Programme zur Sensibilisierung für Sicherheitsfragen effektiver und weniger anfällig für Ermüdung werden.

Über den Autor: Mislav Findrik, PhD, leitet das Datenanalyseteam bei der cyan AG, wo er Forschungsprojekte und die Entwicklung der Threat Intelligence Plattform beaufsichtigt. Seine Arbeit konzentriert sich auf die Weiterentwicklung von Methoden zur Erkennung von Bedrohungen, um die Qualität der Cybersecurity-Lösungen der cyan AG zu verbessern.

(ID:50209756)